Table of Contents
Để xóa quyền truy cập của DApp vào token của bạn, bạn phải tìm quyền truy cập mà nó nắm giữ và thu hồi nó trong một giao dịch trên chuỗi riêng biệt - ngắt kết nối DApp không xóa quyền hạn, và token của bạn vẫn bị lộ cho đến khi hạn mức được đặt về 0.
Điểm Chính
- Quyền truy cập tồn tại trên chuỗi - đóng ứng dụng hoặc phiên WalletConnect không thay đổi gì; quyền chi tiêu vẫn hoạt động cho đến khi bạn thu hồi nó.
- Quyền truy cập không giới hạn làm tăng thiệt hại - một quyền hạn không giới hạn duy nhất cho phép hợp đồng chi tiêu toàn bộ số dư hiện tại và tương lai của token.
- Thu hồi ngăn chặn việc chi tiêu trong tương lai, không phải hành vi trộm cắp trong quá khứ - đặt lại hạn mức chặn các chuyển khoản mới nhưng không thể khôi phục tài sản mà kẻ rút cạn đã chuyển đi.
Quyền Truy Cập Token DApp Là Gì?
Quyền truy cập token DApp là một quyền hạn mà chủ sở hữu ví cấp cho hợp đồng thông minh để chi tiêu một token cụ thể lên đến một số lượng nhất định. Nếu không có quyền truy cập đó, sàn giao dịch phi tập trung, thị trường cho vay, hoặc bất kỳ DApp nào khác không thể di chuyển token của bạn - quyền truy cập là thứ cho phép nó hoán đổi, stake, hoặc chuyển chúng thay mặt bạn khi bạn tương tác với nó.
Hợp đồng thông minh là một chương trình dựa trên blockchain tự động thực hiện các hành động khi các điều kiện được xác định trước được đáp ứng.
Cách Hoạt Động Của Quyền Truy Cập Token DApp
Quyền truy cập token tuân theo một trình tự cố định: bạn kết nối ví của mình với DApp, DApp yêu cầu quyền truy cập, nó được ghi lại trên chuỗi, và từ đó DApp thực hiện hành động đã được phê duyệt mà không cần hỏi lại. Đây là cách các DApp nổi tiếng như Aave và Uniswap hoạt động. Bởi vì quyền hạn tồn tại trên blockchain chứ không phải trong phiên ứng dụng, nó vẫn có hiệu lực rất lâu sau khi bạn ngừng sử dụng DApp.
Quyền truy cập có một vài hình thức riêng biệt:
- Quyền Truy Cập Có Giới Hạn: DApp chỉ có thể chi tiêu số lượng bạn đặt, ví dụ 500 USDC, và phải yêu cầu quyền truy cập mới để chi tiêu nhiều hơn.
- Quyền Truy Cập Không Giới Hạn: DApp có thể chi tiêu bất kỳ số lượng nào của token đã chọn, bao gồm cả token đến ví của bạn sau này.
- Quyền Truy Cập Token: Hợp đồng thông minh nhận quyền quản lý một token fungible cụ thể, chẳng hạn như USDC hoặc USDT.
- Quyền Truy Cập NFT: Quyền hạn có thể bao gồm một NFT duy nhất hoặc toàn bộ bộ sưu tập, ví dụ thông qua
setApprovalForAll.
Quyền truy cập token không tiết lộ cụm từ bí mật của bạn hoặc cấp cho DApp quyền truy cập không hạn chế vào toàn bộ ví. Nó chỉ áp dụng cho token, NFT, số lượng, và hợp đồng thông minh đã được phê duyệt.
Khi Nào Người Dùng Ví Crypto Cấp Quyền Truy Cập Token?
Quyền truy cập token xuất hiện trong các hành động DeFi hàng ngày: hoán đổi token, cho vay, stake, và bán NFT. Chúng có thể vẫn hoạt động sau khi hành động được thực hiện hoặc DApp bị ngắt kết nối.
Hoán Đổi Token Trên DEX: Giả sử bạn đang hoán đổi USDC để lấy ETH trên Uniswap - đầu tiên bạn phê duyệt hợp đồng Permit2 (một trình quản lý quyền hạn của Uniswap Labs) để sử dụng USDC. Quyền truy cập không giới hạn có thể vẫn hoạt động sau khi việc hoán đổi hoàn tất hoặc bị hủy.
Cung Cấp Token Cho Giao Thức Cho Vay: Để cho vay USDT trên Aave, bạn phê duyệt hợp đồng Aave Pool để di chuyển token ra khỏi ví. Hạn mức chưa sử dụng có thể vẫn còn sau khi khoản tiền gửi được rút hoặc DApp bị ngắt kết nối.
Stake Token Qua DApp: Khi stake qua Aave Umbrella, bạn phê duyệt hợp đồng stake để di chuyển token đã chọn vào pool. Nếu quyền truy cập vượt quá khoản gửi, hạn mức còn lại có thể tiếp tục hoạt động sau khi bạn thoát stake.
Niêm Yết NFT Để Bán: Niêm yết NFT trên OpenSea và marketplace có thể yêu cầu quyền truy cập vào một NFT duy nhất hoặc toàn bộ bộ sưu tập thông qua setApprovalForAll. Quyền truy cập toàn bộ bộ sưu tập vẫn có hiệu lực cho đến khi người dùng thu hồi nó trong một giao dịch riêng biệt.
Nhận Token Từ Airdrop: Một trang airdrop giả có thể ẩn quyền truy cập không giới hạn hoặc chữ ký Permit sau nút Claim thông thường. Sau khi bạn xác nhận, kẻ rút cạn ví có thể di chuyển token hoặc NFT đã được phê duyệt mà không cần yêu cầu mới nào trong ví.
Rủi Ro Của Quyền Truy Cập Token Là Gì?
Nguy hiểm không phải là bản thân quyền truy cập mà là những gì nó có thể trở thành theo thời gian. Ba rủi ro quan trọng nhất:
- Hạn Mức Không Giới Hạn: Hợp đồng có thể chi tiêu toàn bộ số dư hiện tại và tương lai của token đã được phê duyệt, không chỉ số lượng bạn định sử dụng.
- Quyền Truy Cập Tồn Đọng: Quyền hạn tiếp tục hoạt động trong nhiều tháng hoặc nhiều năm sau khi bạn chạm vào DApp lần cuối, vì vậy quyền truy cập bị quên vẫn có thể bị khai thác.
- Hợp Đồng Bị Xâm Phạm: Ngay cả một DApp hợp pháp cũng có thể bị hack sau khi bạn cấp quyền truy cập, trao cho kẻ tấn công quyền truy cập mà bạn đã ký.
Kẻ Rút Cạn Ví Crypto Là Gì?
Kẻ rút cạn ví crypto là một công cụ độc hại sử dụng trang phishing hoặc DApp giả để lừa bạn cấp quyền chuyển token hoặc NFT của bạn. Thay vì đoán cụm từ bí mật của bạn, kẻ rút cạn khiến bạn tự nguyện ký quyền truy cập, sau đó sử dụng nó để di chuyển tài sản có giá trị nhất của bạn ra ngoài. Kẻ rút cạn là mối đe dọa lớn và đang hoạt động: chúng đã đánh cắp 494 triệu đô la từ khoảng 332,000 địa chỉ ví trong năm 2024, tăng 67% so với năm trước (Scam Sniffer, 2024).
Cách Kẻ Rút Cạn Ví Khai Thác Quyền Truy Cập Token
Một cuộc tấn công rút cạn thường diễn ra qua một chuỗi các bước có thể dự đoán:
- Người dùng vào một trang mint, airdrop, hoặc đầu tư giả.
- Trang nhắc người dùng kết nối ví của họ.
- Người dùng ký quyền truy cập hoặc chữ ký permit.
- Kẻ rút cạn quét ví và xác định các tài sản có giá trị nhất.
- Token hoặc NFT đã được phê duyệt được chuyển ra ngoài mà không cần xác nhận mới.
Việc kết nối ví một mình không cho phép ai di chuyển tài sản của bạn - nguy hiểm chỉ bắt đầu sau khi bạn ký quyền truy cập hoặc một giao dịch độc hại. Chữ ký duy nhất đó là ranh giới giữa một kết nối vô hại và một ví bị rút cạn.
Tại Sao Ngắt Kết Nối DApp Không Thu Hồi Quyền Truy Cập Của Nó
Ngắt kết nối và thu hồi là hai hành động khác nhau, và chỉ một trong số chúng xóa quyền chi tiêu của hợp đồng. Ngắt kết nối đóng giao diện giữa ví của bạn và DApp; quyền truy cập tiếp tục tồn tại trên chuỗi.
| Hành Động | Nó Làm Gì | Điều Gì Vẫn Hoạt Động |
|---|---|---|
| Ngắt Kết Nối | Đóng kết nối giữa ví và giao diện DApp | Các quyền truy cập trên chuỗi đã được cấp trước đó |
| Thu Hồi | Xóa hoặc đặt lại quyền chi tiêu của hợp đồng thông minh | DApp phải yêu cầu quyền truy cập mới để truy cập token lại |
Để cho thấy sự khác biệt, chúng tôi đã kết nối Gem Wallet với DApp hợp pháp Uniswap và cấp cho Permit2 quyền truy cập không giới hạn trên USDC. Sau khi ngắt kết nối Uniswap, không còn phiên WalletConnect hoạt động nào, nhưng Revoke.cash vẫn hiển thị quyền truy cập với toàn bộ số dư USDC là giá trị có nguy cơ. Ngắt kết nối chỉ đóng kết nối với DApp - quyền truy cập trên chuỗi vẫn còn cho đến khi có giao dịch thu hồi riêng biệt.
Phê duyệt trong Uniswap, ngắt kết nối DApp - và quyền truy cập vẫn hoạt động trên chuỗi trong Gem Wallet.
Cách Thu Hồi Quyền Truy Cập Token DApp: Từng Bước
Thu hồi quyền truy cập mất vài phút. Đây là toàn bộ quy trình trong nháy mắt:
- Mở công cụ kiểm tra quyền truy cập.
- Nhập địa chỉ ví của bạn.
- Chọn blockchain.
- Xem xét các quyền truy cập hoạt động.
- Thu hồi hoặc giảm hạn mức.
- Xác nhận giao dịch.
- Xác minh kết quả.
Hãy đi qua từng bước chi tiết.
Bước 1: Mở Công Cụ Kiểm Tra Quyền Truy Cập Đáng Tin Cậy
Mở công cụ kiểm tra quyền truy cập như Revoke.cash hoặc Etherscan Token Approval Checker, và tự gõ địa chỉ thay vì theo một liên kết. Các bản sao phishing của các công cụ này tồn tại, vì vậy hãy kiểm tra kỹ tên miền trước khi kết nối bất cứ thứ gì.
Bước 2: Nhập Địa Chỉ Ví Crypto Của Bạn
Bắt đầu ở chế độ chỉ đọc bằng cách dán địa chỉ ví công khai của bạn - điều này cho phép bạn xem mọi quyền truy cập hoạt động mà không cần kết nối hoặc ký. Kết nối qua WalletConnect chỉ cần thiết khi bạn đã sẵn sàng thu hồi.
Bước 3: Chọn Blockchain Đúng
Chọn mạng nơi quyền truy cập được cấp, vì mỗi chuỗi lưu trữ các quyền truy cập riêng của nó. Ethereum, BNB Chain, Polygon, Base, và các mạng khác phải được kiểm tra riêng biệt - quyền truy cập trên một chuỗi không hiển thị trên chuỗi khác.
Bước 4: Xem Xét Người Chi Tiêu Và Hạn Mức
Đối với mỗi mục, hãy kiểm tra token, hợp đồng thông minh (người chi tiêu), số lượng đã được phê duyệt, ngày nó được cấp, và giá trị có nguy cơ. Một người chi tiêu không xác định hoặc một số lượng không giới hạn trên token bạn nắm giữ là dấu hiệu rõ ràng nhất rằng quyền truy cập nên bị xóa.
Bước 5: Thu Hồi Hoặc Giảm Quyền Truy Cập Token
Xóa hoàn toàn quyền truy cập bạn không còn cần, hoặc giảm hạn mức xuống số lượng bạn thực sự dự định sử dụng. Nhấn Thu Hồi sẽ tạo một giao dịch đặt lại hạn mức chi tiêu cho hợp đồng đó về 0.
Bước 6: Xác Nhận Giao Dịch Trong Ví Của Bạn
Yêu cầu mở trong ví của bạn, chẳng hạn như Gem Wallet, qua WalletConnect. Trước khi xác nhận, hãy kiểm tra rằng:
- Số Lượng: Hạn mức đã được phê duyệt thay đổi thành 0 USDC.
- Hợp Đồng: USDC.
- Phương Thức: Approve.
- Người Chi Tiêu: Permit2.
- Mạng: Ethereum.
Xác nhận yêu cầu phí mạng (ví dụ ETH), vì đây là giao dịch trên chuỗi thực sự xóa quyền hạn. Phê duyệt nó trong Gem Wallet để gửi đi.
Bước 7: Xác Minh Rằng Quyền Truy Cập Đã Được Xóa
Tải lại Revoke.cash và xác nhận quyền truy cập đã biến mất hoặc số lượng của nó đã thay đổi. Trong bài kiểm tra của chúng tôi, bảng điều khiển cập nhật thành 0 quyền truy cập, 0 đô la giá trị có nguy cơ, và một danh sách quyền truy cập trống - bằng chứng rằng hợp đồng không còn có thể chi tiêu USDC cho đến khi nó yêu cầu lại.
Nhấn Thu Hồi, xác nhận hạn mức 0 USDC trong Gem Wallet, và xác minh quyền truy cập đã biến mất.
Bạn Nên Thu Hồi Quyền Truy Cập Token Nào?
Không phải mọi quyền truy cập đều cần xóa, nhưng một số là ứng cử viên rõ ràng. Thu hồi quyền truy cập khi:
- DApp Chưa Sử Dụng: Bạn không còn sử dụng DApp nắm giữ nó.
- Người Chi Tiêu Không Xác Định: Bạn không nhận ra hợp đồng người chi tiêu.
- Số Lượng Không Giới Hạn: Quyền truy cập được cấp cho số lượng không giới hạn.
- Niêm Yết NFT Cũ: Quyền hạn gắn liền với niêm yết NFT bạn đã đóng.
- Hack Được Báo Cáo: Dự án đã công bố một vụ hack hoặc khai thác.
- Nguồn Đáng Ngờ: Quyền truy cập xuất hiện sau một mint hoặc airdrop đáng ngờ.
- Lý Do Bị Quên: Bạn không thể nhớ tại sao bạn cấp nó ngay từ đầu.
Phải Làm Gì Nếu Ví Crypto Của Bạn Đã Bị Rút Cạn
Thu hồi mọi quyền truy cập hoạt động ngay lập tức: thu hồi ngăn chặn việc chi tiêu thêm nhưng sẽ không khôi phục tài sản đã bị đánh cắp. Nếu cụm từ bí mật hoặc private key của bạn bị lộ, hãy tạo ví mới trên thiết bị sạch và chuyển bất kỳ khoản tiền còn lại nào đến đó. Nếu bot sweeper đang theo dõi địa chỉ, đừng gửi gas đến địa chỉ bị xâm phạm mà không có kế hoạch cứu hộ tài sản riêng biệt.
Cách Sử Dụng DApp Mà Không Bị Rút Cạn
Thu hồi dọn dẹp các quyền hạn bạn đã cấp - nhưng thói quen an toàn hơn là bắt được quyền truy cập rủi ro trước khi bạn ký nó. Một vài quy tắc bao gồm hầu hết các trường hợp:
- Xác Minh Tên Miền: Kiểm tra URL chính xác của DApp trước khi kết nối.
- Bỏ Qua Mồi Nhử Quyền Truy Cập: Đừng ký các quyền truy cập không rõ ràng chỉ để nhận airdrop.
- Giới Hạn Số Lượng: Giới hạn số lượng đã được phê duyệt thay vì cấp không giới hạn.
- Chú Ý Đến setApprovalForAll: Đối xử với các quyền hạn NFT toàn bộ bộ sưu tập với sự thận trọng bổ sung.
- Kiểm Tra Người Chi Tiêu: Xác nhận địa chỉ người chi tiêu thuộc về giao thức thực.
- Tỉa Thường Xuyên: Xóa các quyền truy cập cũ theo lịch trình.
- Cô Lập Rủi Ro: Sử dụng ví riêng biệt cho DApp mới và không đáng tin cậy.
Sử dụng DApp trên hơn 100 blockchain với Gem Wallet - một ví mã nguồn mở hoàn toàn, tự lưu ký, lưu trữ private key trên thiết bị của bạn và không thu thập dữ liệu cá nhân. Tải Gem Wallet và kết nối với các ứng dụng tương thích WalletConnect trong khi vẫn giữ toàn quyền kiểm soát key của bạn.
