Как апрувы приводят к сливу кошельков

Апрув не перемещает ваши токены сегодня, он даёт контракту постоянное разрешение перемещать их, когда тот захочет. Рассказываем, как это разрешение превращается в слив, и как найти и отозвать его первым.

Сканировать кошелёк: бесплатно Следить 24/7 в Telegram

Только публичный адрес. Без подключения кошелька. Подписывать нечего.

Что на самом деле даёт апрув

Вызов approve(spender, amount) токена ничего не отправляет. Он записывает разрешение в контракт токена: получатель может вызывать transferFrom на вашем балансе, в пределах amount, когда захочет, без вашей новой подписи. Каждый своп, минт и бридж запрашивает такой апрув, прежде чем сможет списать нужный ему токен.

Почему безлимитный апрув: это ловушка по умолчанию

Большинство dapp-приложений запрашивают максимально возможную сумму, чтобы вам больше никогда не пришлось одобрять этого получателя. Это удобно, но также и постоянный незаполненный чек: allowance не истекает, не уменьшается по мере трат и остаётся таким же большим и в тот день, когда вы забыли о существовании dapp, как и в день, когда вы его подписали.

Как получатель апрува становится вредоносным

Получателю не обязательно быть вредоносным с самого начала. Его контракт может быть взломан спустя месяцы, его команда может оказаться рагпулом, а скам-токен или ферма могут быть вредоносными изначально, в любом из этих случаев кто-то сможет вызвать transferFrom на каждом кошельке с ещё открытым allowance, без нового апрува.

Найдите и отзовите, пока апрув не использовали

Просканируйте свой публичный адрес, чтобы получить список всех апрувов во всех сетях, безлимитные allowance и непроверенные или помеченные получатели выделяются отдельно, вместе с тем, как долго каждый из них открыт. Отзывайте рискованные апрувы на revoke.cash, пока забытый апрув не стал чьей-то наживой.

Похожее