Хитроумное искусство подтверждения токенов: понимание и управление рисками

В быстро развивающейся сфере децентрализованных финансов (DeFi) смарт-контракты стали двигателем инноваций. Фундаментальный механизм, позволяющий этим контрактам взаимодействовать с вашими активами, — это «подтверждение токена». Хотя это необходимо для многих приложений DeFi, от децентрализованных бирж до протоколов кредитования, подтверждения токенов представляют собой критическую точку уязвимости, если их не понимать и не управлять ими с должной осмотрительностью. Эта статья призвана прояснить суть подтверждений токенов, объяснить присущие им риски и предоставить читателям практические шаги для защиты их цифровых активов.

Подтверждения токенов являются краеугольным камнем того, как большинство токенов ERC-20 (и аналогичных стандартов) функционируют в блокчейнах, таких как Ethereum. Они позволяют смарт-контракту тратить определенное количество ваших токенов от вашего имени, не требуя от вас постоянного нахождения в сети или ручного подтверждения каждой транзакции. Эта автоматизация делает DeFi бесшовным, обеспечивая такие функции, как обмен токенов на децентрализованных биржах (DEX) или предоставление ликвидности для фарминга доходности. Однако именно в этом делегированном разрешении кроется риск. Если смарт-контракт скомпрометирован, или если вы случайно взаимодействуете со злонамеренным контрактом, одобренные токены могут быть украдены, часто без возможности их возврата. Понимание этого механизма имеет первостепенное значение для любого, кто участвует в DeFi.

Регулирующие органы и исследователи безопасности постоянно подчеркивают, что подтверждения токенов являются значительным вектором для потерь, связанных с криптовалютами. Комиссия по ценным бумагам и биржам США (SEC), например, предупреждала инвесторов о рисках, связанных с подтверждением расходования токенов смарт-контрактами DeFi, подчеркивая, что такие подтверждения могут предоставить широкий доступ к кошельку инвестора, если они не будут тщательно ограничены. Фирмы по безопасности, такие как Chainalysis и TRM Labs, часто документируют, как скомпрометированные смарт-контракты или фишинговые атаки используют эти подтверждения для вывода средств пользователей. Такие инструменты, как Revoke.cash, появились специально для того, чтобы помочь пользователям отслеживать и отзывать эти разрешения, подчеркивая постоянную необходимость бдительности пользователей. Эти источники в совокупности указывают на то, что удобство подтверждений токенов может быть превращено в мощный инструмент для незаконных действий.

При взаимодействии с протоколом DeFi вам обычно необходимо разрешить смарт-контракту протокола доступ к вашим токенам. Это включает подписание транзакции, которая устанавливает «разрешение» — максимальную сумму определенного токена, которую контракт может вывести из вашего кошелька.

1. Подтверждение на определенную сумму: вы разрешаете контракту потратить определенное количество токенов.
2. Безлимитное подтверждение: вы разрешаете контракту потратить неограниченное количество ваших токенов. Это часто является настройкой по умолчанию или наиболее удобным вариантом, предлагаемым некоторыми dApps, но это также самый опасный вариант.

Опасность возникает потому, что после предоставления подтверждения оно остается активным до тех пор, пока либо не будет исчерпано разрешение, либо вы явно не отзовете его. Если злоумышленник получает контроль над смарт-контрактом, который вы одобрили, он может немедленно вывести все токены, покрытые этим подтверждением. Это может произойти, если сам контракт плохо закодирован и уязвим для эксплойтов, или если разработчики протокола злонамеренны (как в сценарии «rug pull»). Фишинговые попытки часто обманом заставляют пользователей подписывать транзакцию, которая предоставляет вредоносному контракту неограниченное разрешение на весь их баланс токенов.

Source-tracked CryptoRescue article.

• Регулярно проверяйте свои подтверждения: используйте инструмент проверки подтверждений токенов, такой как Revoke.cash, или аналогичные сервисы, предоставляемые поставщиками кошельков. Эти инструменты подключаются к вашему кошельку и отображают все активные подтверждения токенов по различным стандартам токенов.
• Проверьте сумму разрешения: при подтверждении токена всегда обращайте пристальное внимание на сумму, которую вы авторизуете. По возможности выбирайте конкретную, ограниченную сумму, а не неограниченное подтверждение, особенно для токенов, которыми вы владеете в значительных количествах.
• Внимательно изучите адреса смарт-контрактов: перед подтверждением любой транзакции проверьте адрес смарт-контракта. Злоумышленники часто создают похожие контракты или фишинговые сайты, которые имитируют легитимные протоколы. Дважды проверьте официальную документацию используемого вами dApp, чтобы найти правильный адрес контракта.
• Поймите «почему»: спросите себя, почему конкретному dApp требуется неограниченное подтверждение для токена. Для большинства стандартных операций, таких как обмен или предоставление ликвидности, достаточно конкретного, ограниченного подтверждения. Неограниченные подтверждения часто являются красным флагом.
• Будьте осторожны с неожиданными запросами: если кошелек или dApp предлагает вам подтвердить токен, с которым вы не взаимодействовали, или если запрос кажется необычным, будьте предельно осторожны.

Хотя мы можем определить риски и стратегии управления для подтверждений токенов, точная количественная оценка общей стоимости, потерянной во всем мире из-за скомпрометированных подтверждений, является сложной задачей. Многие потери не сообщаются публично, и их отнесение исключительно к первоначальному подтверждению может быть сложным, поскольку оно часто включает цепочку событий, включая эксплойты смарт-контрактов или ошибки пользователей. Кроме того, постоянно развивающаяся природа DeFi означает, что постоянно появляются новые векторы атак, что затрудняет поддержание постоянно безопасного положения без непрерывного обучения и адаптации. Точное количество эксплуатируемых контрактов и общая стоимость, заблокированная в них в любой момент времени, также является динамическим показателем.

CryptoRescue продолжит отслеживать развитие событий в области безопасности DeFi, уделяя особое внимание возникающим схемам уязвимостей смарт-контрактов и новым методам эксплойтов, связанных с подтверждениями токенов. Мы будем отслеживать отчеты исследователей безопасности, регуляторные рекомендации и данные блокчейн для выявления потенциальных рисков. Наша цель — предоставлять своевременные обновления и практические рекомендации о том, как пользователи могут справляться с этими развивающимися угрозами. Мы также будем следить за тем, как поставщики кошельков и фирмы по анализу блокчейна совершенствуют свои инструменты, чтобы помочь пользователям лучше управлять своими подтверждениями токенов и обнаруживать вредоносную активность.

1. Проверяйте свои активные подтверждения токенов: Регулярно используйте сервис, такой как Revoke.cash, чтобы просматривать все свои текущие разрешения на токены.
2. Проверяйте сумму разрешения для каждого токена: Убедитесь, что подтверждения выдаются на конкретные, необходимые суммы, а не на неограниченные, если это не абсолютно необходимо и хорошо понятно.
3. Проверяйте адрес смарт-контракта: Перед подтверждением сверяйте адрес контракта с официальной документацией протокола DeFi.
4. Задавайте вопросы при необычных запросах на подтверждение: Если запрос кажется неожиданным или запрашивает больше разрешений, чем вы ожидаете, проведите дополнительное расследование, прежде чем продолжить.
5. Отзывайте любые устаревшие или ненужные подтверждения: Периодически очищайте свои активные подтверждения, особенно для протоколов, которыми вы больше не пользуетесь или не доверяете.
6. Поймите назначение токена: Четко представляйте, почему протоколу необходимо тратить определенный токен, прежде чем давать разрешение.

Будучи информированными и практикуя тщательное управление кошельком, пользователи могут значительно снизить риски, связанные с подтверждениями токенов, и безопаснее участвовать в экосистеме DeFi.