Zatwierdzenia tokenów (Token Approval): jak opróżniane są portfele i jak cofnąć uprawnienia

Zdarzyło ci się kiedyś połączyć portfel z aplikacją zdecentralizowaną (dApp) jednym kliknięciem "Approve", a potem zupełnie o tym zapomnieć? Ta ulotna chwila może pozostać otwarta przez lata i jest jednym z najczęstszych sposobów, w jaki dziś opróżnia się portfele. W tym przewodniku wyjaśniamy, czym jest "zatwierdzenie tokena" (Token Approval), jak wykorzystują je oszuści, a przede wszystkim – jak samodzielnie sprawdzić i cofnąć swoje uprawnienia, krok po kroku.

Co oznacza "zatwierdzenie tokena" (Token Approval)?

Monety takie jak USDT w sieci BEP20 to tokeny – nie poruszają się same. Gdy chcesz ich użyć w aplikacji zdecentralizowanej – wymiana, płynność czy jakikolwiek inny inteligentny kontrakt – ten kontrakt potrzebuje wcześniejszej zgody na pobranie tokena z twojego portfela. Ta zgoda nazywa się "Allowance", a udzielasz jej poprzez transakcję "Approve".

Problem w tym, że domyślne ustawienie w wielu aplikacjach żąda uprawnienia nieograniczonego (Unlimited), czyli: "pozwól temu kontraktowi pobrać dowolną ilość tego tokena, w dowolnym momencie, bez końca". Podpisujesz raz, ale drzwi zostają otwarte, dopóki sam ich nie zamkniesz.

Jak kontrakty drainer opróżniają portfele?

Kontrakty typu drainer (Approval Drainers) nie "włamują się" do twojego portfela – nakłaniają cię, byś sam podpisał zgodę. Typowy scenariusz wygląda tak:

1. Trafiasz na fałszywą stronę, która przypomina znaną platformę, albo kusi cię wiadomość o "nagrodzie" lub darmowym "airdropie".
2. Strona prosi o połączenie portfela, a następnie wyświetla okno podpisu, które wygląda rutynowo.
3. Podpis w rzeczywistości udziela nieograniczonego uprawnienia do tokena, który posiadasz (np. USDT lub token natywny sieci).
4. Nic widocznego się nie dzieje, więc myślisz, że próba się nie powiodła, i wychodzisz.
5. Po godzinach lub dniach atakujący wykonuje funkcję transferFrom i wypłaca twoje saldo – jednorazowo lub stopniowo.

Najgroźniejszym oszustwem są podpisy Permit i Permit2: podpis "poza łańcuchem", który nie kosztuje gazu i nie pojawia się jako transakcja, ale mimo to udziela pełnego uprawnienia. Dlatego prośba może wyglądać na całkowicie niewinną.

Sygnały ostrzegawcze przed podpisaniem

• Strona dotarła do ciebie przez prywatną wiadomość, płatny link lub konto "wsparcia", które napisało do ciebie jako pierwsze.
• Okno portfela pokazuje słowo Approve lub Permit dla tokena, którego nie zamierzasz teraz wymieniać.
• Wymagane uprawnienie jest nieograniczone, podczas gdy potrzebujesz tylko niewielkiej kwoty.
• Kontrakt-beneficjent to nieznany, niezweryfikowany adres, który nie widnieje w eksploratorze blockchain jako znany kontrakt.
• Presja czasu i pośpiech: "oferta wygasa za kilka minut".

Jak sprawdzić i cofnąć swoje uprawnienia?

Dobra wiadomość jest taka, że uprawnienia można cofnąć w dowolnym momencie, a sam proces jest prosty. Chodzi o wysłanie transakcji, która przywraca dozwolony limit do zera.

Praktyczne kroki

1. Otwórz zaufane narzędzie do sprawdzania uprawnień (Revoke Tool) w przeglądarce, upewniając się, że adres strony wpisujesz samodzielnie, a nie klikasz link z wiadomości.
2. Połącz swój portfel lub, co lepsze, wklej wyłącznie swój publiczny adres do podglądu bez połączenia, a samo cofnięcie wykonaj dopiero po weryfikacji.
3. Wybierz właściwą sieć (np. BNB Smart Chain dla tokenów BEP20).
4. Przejrzyj listę uprawnień: przy każdym wierszu znajdziesz token, kontrakt-beneficjenta oraz dozwolony limit.
5. Znajdź uprawnienia nieograniczone lub kontrakty, których nie rozpoznajesz, i kliknij "Revoke".
6. Podpisz transakcję cofnięcia, zapłać niewielką opłatę za gaz i poczekaj na potwierdzenie.

Sposoby sprawdzania uprawnień

Nawyki, które ochronią cię w przyszłości

• Ograniczaj kwotę: przy każdym "Approve" wybieraj uprawnienie odpowiadające twojej faktycznej potrzebie, a nie "nieograniczone", jeśli aplikacja na to pozwala.
• Sprawdzaj regularnie: przeglądaj swoje uprawnienia co kilka tygodni oraz po każdej interakcji z nową stroną.
• Rozdzielaj portfele: mały portfel "testowy" do interakcji z nowymi stronami oraz portfel "skarbiec", którego nigdy nie łączysz z żadną dApp.
• Czytaj okno podpisu: zrozum nazwę funkcji i kontrakt-beneficjenta, zanim klikniesz; jeśli czegoś nie rozumiesz, nie podpisuj.
• Uważaj na podpisy bez gazu: podpis Permit może być bezpłatny, ale mimo to udziela pełnego uprawnienia.

Podsumowanie

Zatwierdzenie tokena to niezbędne narzędzie dla aplikacji zdecentralizowanych, ale jest też najczęściej wykorzystywanymi tylnymi drzwiami. Zasada jest prosta: udzielaj tylko tego, czego naprawdę potrzebujesz, i cofaj to, czego już nie używasz. Zrób z przeglądu uprawnień regularny nawyk, tak jak porządkowanie portfela, a zamkniesz oszustom najszersze drzwi, zanim jeszcze do nich zapukają. W Paperino wierzymy, że bezpieczeństwo zaczyna się od świadomości: jedno cofnięcie dziś może ochronić całe twoje saldo jutro.