Разрешения на токены и как их отзывать

Чтобы децентрализованное приложение могло распоряжаться вашим токеном, вы подписываете разрешение: записанное в блокчейне право названного контракта тратить с вашего адреса определённую сумму этого токена. Обмен, кредитование и покупка NFT начинаются именно с него. Разрешение существует отдельно от последующей транзакции и само по себе не истекает.

Чем плохи неограниченные разрешения

Многие интерфейсы по умолчанию запрашивают неограниченный лимит, чтобы избавить пользователя от второго подтверждения при каждом следующем действии. Цена — контракт бессрочно сохраняет право перемещать этот токен. Если контракт позже взломают, если он был вредоносным с самого начала или если он обновляемый и его логику подменят, именно подписанное вами полгода назад разрешение выпустит средства. Кражи ключа не потребуется.

Как на самом деле происходит опустошение

Поддельная страница минта, форма получения airdrop или «сотрудник поддержки» просят подписать нечто, похожее на рутинный шаг. На экране подтверждения — разрешение или подпись permit, а не перевод, поэтому в моменте ничего не уходит. Перевод происходит позже, с кошелька злоумышленника, по выданному вами праву.

Проверка и отзыв

Используйте проверенный сервис проверки разрешений или встроенный экран прав в кошельке, чтобы увидеть список выданного по каждой сети: разрешения существуют отдельно в каждой сети, и чистый список в одной ничего не говорит о другой. Отзовите всё, чем больше не пользуетесь, и всё неограниченное на незнакомых контрактах. Отзыв сам по себе транзакция и стоит сетевой комиссии.

Привычки, которые держат список коротким

Ставьте лимит вместо «неограниченно», если интерфейс это позволяет, храните долгосрочные накопления в кошельке, который не взаимодействует с приложениями, и ищите на экране подтверждения слова approve или permit до подписи. Кошелёк с симуляцией транзакций покажет размер разрешения простым языком.