Как отозвать разрешения на токены в Ethereum и других EVM-сетях

Чтобы отозвать разрешения на токены в Ethereum или другой EVM-сети, подключите кошелёк к надёжному сервису проверки разрешений (например, Revoke.cash или инструменту проверки разрешений в обозревателе блоков), выберите сеть, посмотрите, какие контракты могут тратить ваши токены, и отправьте транзакцию отзыва для тех, которыми вы больше не пользуетесь или которые не узнаёте. Каждый отзыв — это ончейн-транзакция, которая устанавливает лимит на ноль и стоит небольшую комиссию за газ.

Разрешения — один из самых недооценённых рисков самостоятельного хранения. Каждый раз, когда вы торгуете на децентрализованной бирже или пользуетесь DeFi-приложением, вы, скорее всего, даёте контракту право перемещать ваши токены. Эти права остаются активными бессрочно. Если позже этот контракт взломают или если вы одобрили вредоносный контракт, ваши токены могут вывести без какой-либо новой подписи с вашей стороны.

Как работают разрешения на токены

Токены ERC-20 — стандарт большинства токенов в Ethereum — содержат функцию approve. Когда вы одобряете контракт, вы задаёте лимит (allowance): максимальное количество этого токена, которое контракт может перевести с вашего адреса.

Многие приложения запрашивают неограниченный лимит, чтобы вам не приходилось одобрять заново перед каждой сделкой. Это удобно, но означает, что контракт может в любой момент — сейчас или в будущем — переместить весь ваш баланс этого токена.

С NFT всё похоже. Функция setApprovalForAll даёт оператору право перемещать каждый NFT из принадлежащей вам коллекции, поэтому NFT-дрейнеры охотятся именно за ней.

Есть и более новая схема — подписи permit. Некоторые токены и системы (включая Permit2 от Uniswap) позволяют выдать лимит, подписав офчейн-сообщение вместо отправки транзакции. Такие подписи выглядят безобидно, но могут разрешать переводы. Наша статья об ice phishing и подписях permit рассказывает об этом риске.

Пошагово: как отозвать разрешения

1. 1Откройте надёжный инструмент напрямую. Введите адрес вручную или используйте закладку. Известные варианты — Revoke.cash и инструмент проверки разрешений на токены в Etherscan и других обозревателях. Существуют поддельные сайты для «отзыва», поэтому никогда не переходите по ссылкам из личных сообщений или рекламы.
2. 2Подключите кошелёк или вставьте свой адрес. Вставив адрес, можно посмотреть разрешения без подключения. Подключаться нужно только для отправки транзакций отзыва.
3. 3Выберите сеть. Разрешения действуют в рамках одной сети. Проверьте Ethereum, а затем каждую сеть, которой пользуетесь, например Arbitrum, Optimism, Base, Polygon или BNB Smart Chain.
4. 4Просмотрите список. Для каждого разрешения вы увидите токен, контракт-получатель права, размер лимита и часто дату выдачи.
5. 5Определите, что отозвать. В первую очередь займитесь неограниченными лимитами, незнакомыми контрактами, приложениями, которыми больше не пользуетесь, и любыми контрактами, связанными с известным взломом.
6. 6Нажмите «отозвать» и подтвердите в кошельке. Прочитайте запрос кошелька: это должен быть вызов approve, устанавливающий лимит на ноль (или, для NFT, вызов setApprovalForAll со значением false).
7. 7Повторите для каждой сети. Затем обновите страницу, чтобы убедиться, что разрешения исчезли.

Какие разрешения отзывать в первую очередь

Чего отзыв сделать не может

Отзыв — это профилактика, а не лечение. Он не сможет:

• Вернуть уже переведённые токены.
• Защитить вас, если ваша сид-фраза или приватный ключ были украдены. В этом случае злоумышленник может подписать что угодно; переведите оставшиеся активы в новый кошелёк, как описано в статье что делать немедленно, если ваш кошелёк скомпрометирован.
• Надёжно отменить уже выданные офчейн-подписи permit. У них свои правила срока действия и nonce, поэтому если вы подписали подозрительный permit, безопаснее всего перевести затронутые токены в новый кошелёк.

Как снизить риск разрешений в будущем

• Задавайте собственные лимиты. Многие кошельки позволяют изменить сумму в запросе на одобрение. Одобряйте только то, что собираетесь потратить.
• Используйте отдельный кошелёк для экспериментов. Держите одноразовый кошелёк для новых приложений, минтов и аирдропов, а долгосрочные средства храните в кошельке, который никогда не подключается к незнакомым сайтам.
• Читайте каждый запрос на подпись. Если сайт просит подписать сообщение, которое вы не понимаете, остановитесь.
• Регулярно проверяйте разрешения. Раз в несколько месяцев и после того, как попробовали новое приложение.
• Проверяйте и подключённые сайты. Подключение и разрешение — разные вещи; см. разрешения кошелька и подключённые сайты.

Распространённые ошибки

• Использовать поддельный инструмент отзыва, найденный через поисковую рекламу или ответ в соцсетях.
• Отозвать разрешения в Ethereum, но забыть о том же кошельке в сетях второго уровня.
• Считать, что отключение сайта в кошельке удаляет его разрешения. Это не так.
• Игнорировать малоценные токены: злоумышленники часто выгребают всё, до чего могут дотянуться.

Итог

Разрешения на токены — это постоянные права, которые продолжают действовать долго после того, как вы их выдали. Проверять их бесплатно, отзывать дёшево, а регулярная проверка закрывает один из самых распространённых путей, которыми пользуются дрейнеры. Сделайте это частью своей рутины, одобряйте только необходимое и храните основные активы в кошельке, который почти ничего не подписывает.