Jak odvolat schválení tokenů DApp, než vám vyčerpají krypto peněženku

Abyste odstranili přístup DApp k vašim tokenům, musíte najít schválení, které drží, a odvolat jej v samostatné on-chain transakci - odpojení DApp oprávnění neodstraňuje a vaše tokeny zůstávají vystaveny, dokud není povolená částka nastavena na 0.

Shrnutí

• Schválení žijí on-chain - zavření aplikace nebo relace WalletConnect nic nemění; oprávnění k utrácení zůstává aktivní, dokud jej neodvoláte.
• Neomezená schválení zvyšují škodu - jediné neomezené oprávnění umožňuje kontraktu utratit celý aktuální i budoucí zůstatek tokenu.
• Odvolání brání budoucímu utrácení, ne minulé krádeži - resetování povolené částky blokuje nové převody, ale nemůže obnovit aktiva, která drainer již přesunul.

Co jsou schválení tokenů DApp?

Schválení tokenu DApp je oprávnění, které vlastník peněženky uděluje smart kontraktu k utrácení konkrétního tokenu až do stanovené částky. Bez tohoto schválení nemůže decentralizovaná burza, úvěrový trh ani žádná jiná DApp vaše tokeny přesouvat - schválení je to, co jí umožňuje je swapovat, stakovat nebo převádět vaším jménem, když s ní interagujete.

Smart kontrakt je blockchainový program, který automaticky provádí akce, když jsou splněny předem definované podmínky.

Jak fungují schválení tokenů DApp

Schválení tokenu následuje pevnou sekvenci: připojíte svou peněženku k DApp, DApp požádá o schválení, je zaznamenáno on-chain a od té chvíle DApp provádí schválenou akci bez dalšího dotazu. Takto fungují známé DApp jako Aave a Uniswap. Protože oprávnění žije na blockchainu a ne v relaci aplikace, zůstává v platnosti dlouho poté, co přestanete DApp používat.

Schválení přicházejí v několika odlišných formách:

• Omezené schválení: DApp může utratit pouze částku, kterou nastavíte, například 500 USDC, a musí požádat o nové schválení, aby mohla utratit více.
• Neomezené schválení: DApp může utratit jakoukoli částku zvoleného tokenu, včetně tokenů, které do vaší peněženky přijdou později.
• Schválení tokenu: Smart kontrakt obdrží oprávnění spravovat konkrétní fungibilní token, jako je USDC nebo USDT.
• Schválení NFT: Oprávnění může pokrývat jedno NFT nebo celou kolekci, například prostřednictvím setApprovalForAll.

Schválení tokenu neodhaluje vaši tajnou frázi ani nedává DApp neomezený přístup k celé peněžence. Vztahuje se pouze na schválený token, NFT, částku a smart kontrakt.

Kdy uživatelé krypto peněženek udělují schválení tokenů?

Schválení tokenů se objevují během každodenních akcí DeFi: swapování tokenů, půjčování, staking a prodej NFT. Mohou zůstat aktivní poté, co je akce dokončena nebo je DApp odpojena.

Swapování tokenů na DEX: Řekněme, že swapujete USDC za ETH na Uniswap - nejprve schválíte kontrakt Permit2 (správce oprávnění od Uniswap Labs) k použití USDC. Neomezené schválení může zůstat aktivní po dokončení nebo zrušení swapu.

Poskytování tokenů do úvěrového protokolu: Abyste mohli půjčit USDT na Aave, schválíte kontraktu Aave Pool přesunout tokeny z peněženky. Nevyužitá povolená částka může zůstat po výběru vkladu nebo odpojení DApp.

Staking tokenů prostřednictvím DApp: Když stakujete prostřednictvím Aave Umbrella, schválíte kontraktu pro staking přesunout zvolené tokeny do poolu. Pokud schválení převyšuje vklad, zbylá povolená částka může fungovat i po ukončení stakingu.

Zařazení NFT k prodeji: Zařaďte NFT na OpenSea a tržiště může požádat o přístup k jednomu NFT nebo celé kolekci prostřednictvím setApprovalForAll. Schválení pro celou kolekci zůstává v platnosti, dokud jej uživatel neodvolá v samostatné transakci.

Nárokování tokenů z airdrope: Falešná stránka airdrope může skrýt neomezené schválení nebo podpis Permit za obyčejným tlačítkem Claim. Po potvrzení může wallet drainer přesunout schválené tokeny nebo NFT bez jakéhokoli nového požadavku v peněžence.

Jaká jsou rizika schválení tokenů?

Nebezpečí není v samotném schválení, ale v to, v co se může časem změnit. Nejvíce záleží na třech rizicích:

• Neomezená povolená částka: Kontrakt může utratit celý aktuální i budoucí zůstatek schváleného tokenu, nejen částku, kterou jste chtěli použít.
• Přetrvávající schválení: Oprávnění funguje měsíce nebo roky poté, co jste naposledy DApp použili, takže zapomenuté schválení zůstává zneužitelné.
• Kompromitovaný kontrakt: Dokonce i legitimní DApp může být po udělení schválení napadena, čímž útočníkovi předá přístup, který jste již podepsali.

Co jsou crypto wallet drainery?

Crypto wallet drainer je škodlivý nástroj, který používá phishingovou stránku nebo falešnou DApp, aby vás přiměl udělit oprávnění k převodu vašich tokenů nebo NFT. Místo hádání vaší tajné fráze vás drainer přiměje podepsat přístup dobrovolně a poté jej použije k přesunu vašich nejcennějších aktiv. Drainery jsou velká, aktivní hrozba: v roce 2024 ukradly 494 milionů $ z přibližně 332 000 adres peněženek, což je nárůst o 67 % oproti předchozímu roku (Scam Sniffer, 2024).

Jak wallet drainery zneužívají schválení tokenů

Útok draineru obvykle probíhá předvídatelným řetězcem kroků:

1. Uživatel přistane na falešné stránce pro mint, airdrop nebo investiční stránce.
2. Stránka vyzve uživatele k připojení peněženky.
3. Uživatel podepíše schválení nebo podpis permit.
4. Drainer naskenuje peněženku a identifikuje nejcennější aktiva.
5. Schválené tokeny nebo NFT jsou převedeny bez jakéhokoli nového potvrzení.

Samotné připojení peněženky nikomu neumožňuje přesouvat vaše aktiva - nebezpečí začíná až poté, co podepíšete schválení nebo škodlivou transakci. Tento jediný podpis je hranice mezi neškodným připojením a vyčerpanou peněženkou.

Proč odpojení DApp neodvolává její schválení

Odpojení a odvolání jsou dvě různé akce a pouze jedna z nich odstraňuje oprávnění kontraktu k utrácení. Odpojení uzavírá rozhraní mezi vaší peněženkou a DApp; schválení nadále žije on-chain.

Abychom ukázali rozdíl, připojili jsme Gem Wallet k legitimní DApp Uniswap a udělili Permit2 neomezené schválení na USDC. Po odpojení Uniswap nezůstaly žádné aktivní relace WalletConnect, ale Revoke.cash stále ukazoval schválení s plným zůstatkem USDC jako ohroženou hodnotu. Odpojení pouze uzavírá připojení k DApp - on-chain schválení zůstává až do samostatné transakce odvolání.

Schvalte v Uniswap, odpojte DApp - a schválení je stále aktivní on-chain v Gem Wallet.

Jak odvolat schválení tokenů DApp: Krok za krokem

Odvolání schválení trvá několik minut. Zde je celý proces na první pohled:

1. Otevřete kontrolu schválení.
2. Zadejte adresu své peněženky.
3. Vyberte blockchain.
4. Zkontrolujte aktivní schválení.
5. Odvolejte nebo snižte povolenou částku.
6. Potvrďte transakci.
7. Ověřte výsledek.

Projděme si každý krok podrobně.

Krok 1: Otevřete důvěryhodnou kontrolu schválení

Otevřete kontrolu schválení, jako je Revoke.cash nebo Etherscan Token Approval Checker, a zadejte adresu sami, místo abyste následovali odkaz. Existují phishingové kopie těchto nástrojů, takže před připojením čehokoli důkladně zkontrolujte doménu.

Krok 2: Zadejte adresu své krypto peněženky

Začněte v režimu pouze pro čtení vložením své veřejné adresy peněženky - to vám umožní vidět každé aktivní schválení bez připojení nebo podepisování. Připojení přes WalletConnect je potřeba pouze tehdy, když jste připraveni odvolat.

Krok 3: Vyberte správný blockchain

Vyberte síť, ve které bylo schválení uděleno, protože každý řetězec ukládá svá vlastní schválení. Ethereum, BNB Chain, Polygon, Base a další sítě musí být kontrolovány samostatně - schválení na jednom řetězci je na jiném neviditelné.

Krok 4: Zkontrolujte utraceče a povolenou částku

Pro každý záznam zkontrolujte token, smart kontrakt (utracece), schválenou částku, datum udělení a ohroženou hodnotu. Neznámý utracec nebo neomezená částka na token, který držíte, je nejjasnějším znamením, že by schválení mělo být odvoláno.

Krok 5: Odvolejte nebo snižte schválení tokenu

Odstraňte schválení, které již nepotřebujete úplně, nebo snižte povolenou částku na částku, kterou skutečně plánujete použít. Klepnutím na Revoke se vytvoří transakce, která resetuje povolenou částku pro utrácení pro tento kontrakt na 0.

Krok 6: Potvrďte transakci ve své peněžence

Požadavek se otevře ve vaší peněžence, jako je Gem Wallet, prostřednictvím WalletConnect. Než potvrdíte, zkontrolujte, že:

• Částka: Schválená povolená částka se změní na 0 USDC.
• Kontrakt: USDC.
• Metoda: Approve.
• Utracec: Permit2.
• Síť: Ethereum.

Potvrzení vyžaduje síťový poplatek (například ETH), protože toto je on-chain transakce, která skutečně odstraňuje oprávnění. Schvalte to v Gem Wallet, abyste jej odeslali.

Krok 7: Ověřte, že bylo schválení odstraněno

Znovu načtěte Revoke.cash a potvrďte, že schválení je pryč nebo se jeho částka změnila. V našem testu se řídicí panel aktualizoval na 0 schválení, 0 $ ohrožené hodnoty a prázdný seznam schválení - důkaz, že kontrakt již nemůže utrácet USDC, dokud znovu nepožádá.

Klepněte na Revoke, potvrďte 0 USDC povolenou částku v Gem Wallet a ověřte, že je schválení pryč.

Která schválení tokenů byste měli odvolat?

Ne každé schválení je nutné odstranit, ale některá jsou jasní kandidáti. Odvolejte schválení, když:

• Nepoužívaná DApp: Již nepoužíváte DApp, která ji drží.
• Neznámý utracec: Nepoznáváte kontrakt utraceče.
• Neomezená částka: Schválení bylo uděleno pro neomezenou částku.
• Stará nabídka NFT: Oprávnění je spojeno s nabídkou NFT, kterou jste uzavřeli.
• Nahlášený hack: Projekt odhalil hack nebo exploit.
• Podezřelý zdroj: Schválení se objevilo po pochybném mintu nebo airdrope.
• Zapomenutý důvod: Nemůžete si vzpomenout, proč jste jej udělili.

Co dělat, když byla vaše krypto peněženka již vyčerpána

Okamžitě odvolejte každé aktivní schválení: odvolání zastaví další utrácení, ale neobnoví aktiva, která již byla ukradena. Pokud byla vaše tajná fráze nebo soukromý klíč odhalen, vytvořte novou peněženku na čistém zařízení a přesuňte tam všechny zbývající prostředky. Pokud sweeper bot sleduje adresu, neposílejte plyn na kompromitovanou adresu bez samostatného plánu na záchranu aktiv.

Jak používat DApp, aniž byste byli vyprázdněni

Odvolání čistí oprávnění, která jste již udělili - ale bezpečnějším zvykem je zachytit rizikové schválení dříve, než jej vůbec podepíšete. Několik pravidel pokrývá většinu případů:

• Ověřte doménu: Před připojením zkontrolujte přesnou URL DApp.
• Ignorujte návnadu na schválení: Nepodepisujte nejasná schválení jen proto, abyste si nárokovali airdrop.
• Omezte částku: Omezte schválenou částku místo udělení neomezené.
• Dávejte pozor na setApprovalForAll: S oprávněními NFT pro celou kolekci zacházejte s extra opatrností.
• Zkontrolujte utraceče: Potvrďte, že adresa utraceče patří skutečnému protokolu.
• Pravidelně prořezávejte: Odstraňujte stará schválení podle plánu.
• Izolujte riziko: Používejte samostatnou peněženku pro nové a nedůvěryhodné DApp.

Používejte DApps napříč více než 100 blockchainy s Gem Wallet - plně open-source peněženkou s vlastní správou, která ukládá soukromé klíče na vašem zařízení a neshromažďuje žádné osobní údaje. Stáhněte si Gem Wallet a připojte se k aplikacím kompatibilním s WalletConnect při zachování plné kontroly nad vašimi klíči.