Дозволи токенів (Token Approval): як спустошують гаманці і як скасувати дозволи

Чи траплялось вам колись під'єднати гаманець до децентралізованого застосунку (dApp) одним натисканням "Approve", а потім повністю про це забути? Ця мимобіжна мить може лишатися відкритою роками, і саме так сьогодні найчастіше спустошують гаманці. У цьому гіді ми пояснюємо, що таке "дозвіл токена" (Token Approval), як його використовують шахраї і, найголовніше, як самостійно перевірити й скасувати свої дозволи крок за кроком.

Що означає "дозвіл токена" (Token Approval)?

Монети на кшталт USDT у мережі BEP20 — це токени, вони не рухаються самі. Коли ви хочете скористатися ними в децентралізованому застосунку — обмін, ліквідність чи будь-який інший смарт-контракт — цьому контракту потрібен попередній дозвіл списувати токен з вашого гаманця. Цей дозвіл називається "Allowance", і ви надаєте його через транзакцію "Approve".

Проблема в тому, що типове налаштування в багатьох застосунках вимагає необмеженого дозволу (Unlimited), тобто: "дозволити цьому контракту списувати будь-яку кількість цього токена, у будь-який час, без кінця". Ви підписуєте один раз, але двері лишаються відчиненими, доки ви самі їх не зачините.

Як контракти-дренери спустошують гаманці?

Контракти-дренери (Approval Drainers) не "зламують" ваш гаманець — вони переконують вас самих підписати дозвіл. Типовий сценарій виглядає так:

1. Ви потрапляєте на підроблений сайт, схожий на відому платформу, або вас приваблює повідомлення про "нагороду" чи безкоштовний "airdrop".
2. Сайт просить під'єднати гаманець, а потім показує вікно підпису, яке виглядає рутинним.
3. Насправді підпис надає необмежений дозвіл на токен, яким ви володієте (наприклад, USDT або нативний токен мережі).
4. Видимо нічого не відбувається, тож ви думаєте, що спроба провалилась, і йдете далі.
5. Через години чи дні зловмисник виконує функцію transferFrom і списує ваш баланс — одразу або поступово.

Найнебезпечніший обман — це підписи Permit і Permit2: підпис "поза мережею", який не коштує газу і не з'являється як транзакція, але все одно надає повний дозвіл. Тому запит може виглядати цілком безневинно.

Тривожні сигнали перед підписанням

• Сайт дістався до вас через приватне повідомлення, платне посилання або акаунт "підтримки", який написав вам першим.
• Вікно гаманця показує слово Approve або Permit для токена, який ви зараз не збираєтесь обмінювати.
• Запитаний дозвіл необмежений, хоча вам потрібна лише невелика сума.
• Контракт-отримувач — незнайома, неверифікована адреса, яка не з'являється в обозрівачі блокчейну як відомий контракт.
• Тиск і штучна терміновість: "пропозиція діє ще кілька хвилин".

Як перевірити й скасувати свої дозволи?

Добра новина в тому, що дозволи можна скасувати будь-коли, і сама процедура проста. Ідея в тому, щоб надіслати транзакцію, яка повертає дозволений ліміт до нуля.

Практичні кроки

1. Відкрийте надійний інструмент перевірки дозволів (Revoke Tool) через браузер, переконавшись, що адресу сайту ви вводите самі, а не переходите за посиланням з повідомлення.
2. Під'єднайте гаманець, або краще — вставте лише свою публічну адресу для перегляду без з'єднання, а саме скасування виконайте вже після перевірки.
3. Оберіть правильну мережу (наприклад, BNB Smart Chain для токенів BEP20).
4. Перегляньте список дозволів: у кожному рядку — токен, контракт-отримувач і дозволений ліміт.
5. Знайдіть необмежені дозволи або контракти, яких ви не знаєте, і натисніть "Revoke".
6. Підпишіть транзакцію скасування, сплатіть невелику комісію за газ і зачекайте підтвердження.

Способи перевірки дозволів

Звички, що захистять вас у майбутньому

• Обмежуйте суму: під час кожного "Approve" обирайте дозвіл у межах реальної потреби, а не "необмежений", якщо застосунок це дозволяє.
• Перевіряйте регулярно: переглядайте свої дозволи раз на кілька тижнів і після кожної взаємодії з новим сайтом.
• Розділяйте гаманці: невеликий "тестовий" гаманець для взаємодії з новими сайтами і "сейфовий" гаманець, який ви ніколи не під'єднуєте до жодного dApp.
• Читайте вікно підпису: розумійте назву функції та контракт-отримувач перед тим, як натиснути; якщо не розумієте — не підписуйте.
• Стережіться підписів без газу: підпис Permit може бути безкоштовним, але все одно надає повний дозвіл.

Підсумок

Дозвіл токена — необхідний інструмент для децентралізованих застосунків, але водночас і найбільш використовувані "задні двері". Правило просте: надавайте лише те, що вам справді потрібно, і скасовуйте те, чим більше не користуєтесь. Зробіть перевірку дозволів регулярною звичкою, як прибирання в гаманці, — і ви зачините перед шахраями найширші двері ще до того, як вони постукають. У Paperino ми віримо, що безпека починається з обізнаності: одне скасування сьогодні може захистити весь ваш баланс завтра.