Ruhusa za Tokeni (Token Approval): Jinsi Pochi Zinavyoibiwa na Jinsi ya Kufuta Ruhusa

Je, umewahi kuunganisha pochi yako na tovuti isiyo na kati (dApp) kwa mbofyo mmoja wa "Approve," kisha ukasahau kabisa? Wakati huo mfupi unaweza kubaki wazi kwa miaka, na ndiyo mojawapo ya njia zinazotumika zaidi leo kuiba fedha kutoka kwenye pochi za watu. Katika mwongozo huu tutaeleza maana ya "ruhusa ya tokeni" (Token Approval), jinsi walaghai wanavyoitumia vibaya, na muhimu zaidi: jinsi ya kukagua na kufuta ruhusa zako mwenyewe, hatua kwa hatua.

Ruhusa ya Tokeni (Token Approval) ni nini?

Sarafu kama USDT kwenye mtandao wa BEP20 ni tokeni, na haziwezi kujisogeza zenyewe. Unapotaka kuzitumia kwenye programu isiyo na kati — kubadilishana, kutoa ukwasi, au mkataba wowote janja (smart contract) — mkataba huo unahitaji idhini ya awali ya kutoa tokeni kutoka kwenye pochi yako. Idhini hii inaitwa "Allowance," nawe unaitoa kupitia muamala wa "Approve."

Tatizo ni kwamba mipangilio chaguo-msingi ya programu nyingi huomba ruhusa isiyo na kikomo (Unlimited) — yaani: "ruhusu mkataba huu kutoa kiasi chochote cha tokeni hii, wakati wowote, milele." Unatia sahihi mara moja tu, lakini mlango hubaki wazi mpaka utakapoufunga mwenyewe.

Mikataba ya Wizi Inavyomwaga Pochi

Mikataba ya wizi (Approval Drainers) haivunji pochi yako moja kwa moja, bali inakudanganya utie sahihi ruhusa mwenyewe. Hali ya kawaida huenda hivi:

1. Unafika kwenye tovuti bandia inayofanana na jukwaa maarufu, au unashawishiwa na ujumbe kuhusu "zawadi" au "ugawaji bure" (Airdrop).
2. Tovuti hiyo inaomba kuunganishwa na pochi yako, kisha inaonyesha dirisha la kutia sahihi linaloonekana la kawaida.
3. Kwa hakika, sahihi hiyo ni kutoa ruhusa isiyo na kikomo kwenye tokeni unayomiliki (kama USDT au tokeni ya mtandao).
4. Hakuna kinachoonekana kutokea, hivyo unadhani jaribio limeshindwa na unaondoka.
5. Baada ya masaa au siku, mshambuliaji anaendesha function ya transferFrom na kuchota salio lako kwa mkupuo mmoja au taratibu.

Udanganyifu hatari zaidi ni sahihi za Permit na Permit2: sahihi "nje ya mnyororo" (off-chain) ambayo haigharimu ada ya gesi wala haionekani kama muamala, lakini inatoa ruhusa kamili. Ndiyo maana ombi linaweza kuonekana halina hatia kabisa.

Dalili za Onyo Kabla ya Kutia Sahihi

• Tovuti ilikufikia kupitia ujumbe binafsi, tangazo lililolipiwa, au akaunti ya "msaada" iliyokutumia ujumbe kwanza.
• Dirisha la pochi linaonyesha neno Approve au Permit kwa tokeni ambayo hukusudii kuibadilisha sasa.
• Ruhusa inayoombwa haina kikomo wakati unahitaji kiasi kidogo tu.
• Mkataba unaonufaika ni anwani isiyojulikana, isiyothibitishwa, na haionekani kama mkataba unaotambulika kwenye block explorer.
• Kuna shinikizo la haraka na muda: "ofa inaisha ndani ya dakika chache."

Jinsi ya Kukagua na Kufuta Ruhusa Zako

Habari njema ni kwamba ruhusa zinaweza kufutwa wakati wowote, na kufuta ni jambo rahisi. Wazo ni kwamba unatuma muamala unaorudisha kiwango cha ruhusa hadi sifuri.

Hatua za Vitendo

1. Fungua chombo cha kuaminika cha kukagua ruhusa (Revoke Tool) kwenye kivinjari, na hakikisha unaandika anwani mwenyewe, si kupitia kiungo kilichotumwa kwenye ujumbe.
2. Unganisha pochi yako, au njia bora zaidi: bandika anwani yako ya umma pekee kwa ajili ya kuona bila kuunganisha, kisha thibitisha ufutaji baada ya kuhakikisha.
3. Chagua mtandao sahihi (kwa mfano BNB Smart Chain kwa tokeni za BEP20).
4. Kagua orodha ya ruhusa: kila mstari unaonyesha tokeni, mkataba unaonufaika, na kiwango kinachoruhusiwa.
5. Tafuta ruhusa zisizo na kikomo au mikataba usiyoifahamu, kisha bofya "Revoke."
6. Tia sahihi muamala wa kufuta na ulipe ada ndogo ya gesi, kisha subiri uthibitisho.

Njia za Kukagua Ruhusa

Tabia Zitakazokulinda Baadaye

• Weka kiasi maalum: unapotia sahihi "Approve" yoyote, chagua ruhusa kiasi unachohitaji tu, si "isiyo na kikomo," ikiwa programu inaruhusu.
• Kagua mara kwa mara: chunguza ruhusa zako kila wiki chache, na baada ya kila mwingiliano na tovuti mpya.
• Tenganisha pochi zako: pochi ndogo ya "majaribio" kwa kushirikiana na tovuti mpya, na pochi ya "hazina" ambayo haiunganishwi na dApp yoyote.
• Soma dirisha la sahihi kwa makini: elewa jina la function na mkataba unaonufaika kabla ya kubofya; kama hujaelewa, usitie sahihi.
• Angalia sahihi zisizo na gesi: sahihi ya Permit inaweza kutokuwa na ada, lakini bado inatoa ruhusa kamili.

Hitimisho

Ruhusa ya tokeni ni chombo muhimu kwa programu zisizo na kati, lakini pia ni mlango wa nyuma unaotumiwa vibaya zaidi. Kanuni ni rahisi: usitoe zaidi ya unachohitaji, na futa usichokitumia tena. Fanya ukaguzi wa ruhusa kuwa tabia ya kawaida kama kusafisha pochi yako, nawe utawafungia walaghai milango yao mipana kabla hawajaigonga. Sisi Paperino tunaamini usalama huanza na uelewa: hatua moja ya kufuta ruhusa leo inaweza kulinda salio lako lote kesho.