אישורי טוקנים (Token Approval): איך ארנקים מתרוקנים ואיך מבטלים הרשאות

קרה לכם פעם שחיברתם את הארנק שלכם לאתר מבוזר (dApp) בלחיצה אחת על "Approve", ואז שכחתם מזה לגמרי? הרגע החולף הזה יכול להישאר פתוח במשך שנים, וזו אחת הדרכים הנפוצות ביותר שבהן ארנקים מתרוקנים היום. במדריך הזה נסביר מהי "הרשאת טוקן" (Token Approval), איך נוכלים מנצלים אותה, והכי חשוב - איך לבדוק ולבטל את ההרשאות שלכם בעצמכם, שלב אחר שלב.

מה המשמעות של "הרשאת טוקן" (Token Approval)?

מטבעות כמו USDT ברשת BEP20 הם טוקנים, והם לא זזים מעצמם. כשאתם רוצים להשתמש בהם באפליקציה מבוזרת - החלפה, נזילות, או כל חוזה חכם אחר - אותו חוזה זקוק לאישור מראש למשוך את הטוקן מהארנק שלכם. האישור הזה נקרא "Allowance", ואתם מעניקים אותו באמצעות עסקת "Approve".

הבעיה היא שברירת המחדל באפליקציות רבות מבקשת הרשאה בלתי מוגבלת (Unlimited), כלומר: "אפשרו לחוזה הזה למשוך כל כמות של הטוקן הזה, בכל זמן, לנצח". אתם חותמים פעם אחת, אבל הדלת נשארת פתוחה עד שתסגרו אותה בעצמכם.

איך חוזי גזילה מרוקנים ארנקים?

חוזי גזילה (Approval Drainers) לא "פורצים" לארנק שלכם - הם משכנעים אתכם לחתום על ההרשאה בעצמכם. התרחיש המקובל:

1. אתם מגיעים לאתר מזויף שדומה לפלטפורמה מוכרת, או שהודעה עם "פרס" או "חלוקה חינמית" (Airdrop) מפתה אתכם.
2. האתר מבקש להתחבר לארנק שלכם, ואז מציג חלון חתימה שנראה שגרתי.
3. החתימה למעשה מעניקה הרשאה בלתי מוגבלת על טוקן שברשותכם (כמו USDT או הטוקן של הרשת).
4. שום דבר לא קורה באופן גלוי, אז אתם חושבים שהניסיון נכשל ועוזבים.
5. לאחר שעות או ימים, התוקף מפעיל את הפונקציה transferFrom ומושך את היתרה שלכם - בבת אחת או בהדרגה.

ההטעיה המסוכנת ביותר היא חתימות Permit ו-Permit2: חתימה "מחוץ לשרשרת" שלא עולה לכם דמי גז ולא מופיעה כעסקה, אבל מעניקה הרשאה מלאה בכל זאת. בגלל זה הבקשה עשויה להיראות תמימה לחלוטין.

סימני אזהרה לפני שחותמים

• האתר הגיע אליכם דרך הודעה פרטית, קישור ממומן, או חשבון "תמיכה" שפנה אליכם ראשון.
• חלון הארנק מציג את המילה Approve או Permit עבור טוקן שאתם לא מתכננים להחליף כרגע.
• ההרשאה המבוקשת בלתי מוגבלת, בעוד שאתם זקוקים רק לסכום קטן.
• החוזה המוטב הוא כתובת מוזרה, לא מתועדת, ולא מופיעה כחוזה מוכר במחקר הבלוקצ'יין.
• לחץ ודחיפות מלאכותית: "המבצע נגמר בעוד כמה דקות".

איך בודקים ומבטלים את ההרשאות שלכם?

הבשורה הטובה היא שאפשר לבטל הרשאות בכל עת, והביטול פשוט. הרעיון הוא שאתם שולחים עסקה שמחזירה את המסגרת המותרת לאפס.

השלבים המעשיים

1. פתחו כלי אמין לבדיקת הרשאות (Revoke Tool) דרך הדפדפן, וודאו שאתם מקלידים את הכתובת בעצמכם ולא לוחצים על קישור מתוך הודעה.
2. חברו את הארנק שלכם, או עדיף: הדביקו רק את הכתובת הציבורית שלכם לצפייה בלבד ללא חיבור, ובצעו את הביטול רק לאחר שווידאתם הכול.
3. בחרו את הרשת הנכונה (למשל BNB Smart Chain עבור טוקני BEP20).
4. עברו על רשימת ההרשאות: בכל שורה תמצאו טוקן, חוזה מוטב, ומגבלה מותרת.
5. חפשו הרשאות בלתי מוגבלות או חוזים שאתם לא מכירים, ולחצו "Revoke".
6. חתמו על עסקת הביטול, שלמו את דמי הגז הקטנים, והמתינו לאישור.

דרכים לבדוק הרשאות

הרגלים שיגנו עליכם בעתיד

• הגבילו את הסכום: בכל "Approve", בחרו הרשאה בגובה הצורך שלכם ולא "בלתי מוגבלת", אם האפליקציה מאפשרת זאת.
• בדקו באופן קבוע: סקרו את ההרשאות שלכם כל כמה שבועות, ואחרי כל אינטראקציה עם אתר חדש.
• הפרידו בין הארנקים שלכם: ארנק "ניסיוני" קטן לאינטראקציה עם אתרים חדשים, וארנק "כספת" שלעולם לא תחברו לאף dApp.
• קראו את חלון החתימה: הבינו את שם הפונקציה ואת החוזה המוטב לפני שאתם לוחצים; אם אתם לא מבינים, אל תחתמו.
• הזהרו מחתימות ללא גז: חתימת Permit עשויה להיות ללא עמלה, אבל היא עדיין הרשאה מלאה.

לסיכום

הרשאת טוקן היא כלי הכרחי לאפליקציות מבוזרות, אבל היא גם הדלת האחורית המנוצלת ביותר. הכלל פשוט: אל תעניקו אלא מה שאתם באמת צריכים, ובטלו את מה שכבר לא בשימוש. הפכו את בדיקת ההרשאות להרגל תקופתי, בדיוק כמו ניקוי הארנק שלכם, ותסגרו בפני הנוכלים את השערים הרחבים ביותר עוד לפני שידפקו עליהם. בפאפרינו אנחנו מאמינים שאבטחה מתחילה במודעות: פעולת ביטול אחת היום עשויה להגן על כל היתרה שלכם מחר.