Cách thu hồi phê duyệt token trên Ethereum và các chuỗi EVM khác

Để thu hồi phê duyệt token trên Ethereum hoặc một chuỗi EVM khác, hãy kết nối ví với một công cụ kiểm tra phê duyệt đáng tin cậy (như Revoke.cash hoặc công cụ phê duyệt token của một trình khám phá khối), chọn mạng, xem lại những hợp đồng nào có thể chi tiêu token của bạn và gửi giao dịch thu hồi cho những hợp đồng bạn không còn dùng hoặc không nhận ra. Mỗi lần thu hồi là một giao dịch on-chain đặt hạn mức về 0 và tốn một khoản phí gas nhỏ.

Phê duyệt là một trong những rủi ro bị bỏ qua nhiều nhất khi tự lưu ký. Mỗi lần bạn giao dịch trên sàn phi tập trung hoặc dùng một ứng dụng DeFi, có lẽ bạn đã cấp cho một hợp đồng quyền chuyển token của mình. Những quyền đó vẫn có hiệu lực vô thời hạn. Nếu hợp đồng đó sau này bị khai thác, hoặc nếu bạn đã phê duyệt một hợp đồng độc hại, token của bạn có thể bị lấy đi mà không cần thêm bất kỳ chữ ký nào từ bạn.

Cách phê duyệt token hoạt động

Token ERC-20, tiêu chuẩn của hầu hết token trên Ethereum, có hàm approve. Khi bạn phê duyệt một hợp đồng, bạn đặt một hạn mức (allowance): số lượng tối đa của token đó mà hợp đồng được phép chuyển từ địa chỉ của bạn.

Nhiều ứng dụng yêu cầu hạn mức không giới hạn để bạn không phải phê duyệt lại mỗi lần giao dịch. Điều đó tiện lợi, nhưng nghĩa là hợp đồng có thể chuyển toàn bộ số dư token đó của bạn bất cứ lúc nào, bây giờ hoặc trong tương lai.

NFT hoạt động tương tự. Hàm setApprovalForAll cấp cho một bên vận hành quyền chuyển mọi NFT trong một bộ sưu tập bạn sở hữu, đó là lý do các NFT drainer nhắm vào nó.

Ngoài ra còn có một cơ chế mới hơn: chữ ký permit. Một số token và hệ thống (bao gồm Permit2 của Uniswap) cho phép bạn cấp hạn mức bằng cách ký một thông điệp off-chain thay vì gửi giao dịch. Những chữ ký này trông vô hại nhưng có thể cho phép chuyển token. Bài viết của chúng tôi về ice phishing và chữ ký permit trình bày rủi ro này.

Từng bước: cách thu hồi phê duyệt

1. 1Mở trực tiếp một công cụ đáng tin cậy. Tự gõ địa chỉ hoặc dùng dấu trang. Các lựa chọn phổ biến gồm Revoke.cash và công cụ kiểm tra phê duyệt token trên Etherscan cùng các trình khám phá khác. Có tồn tại các trang “revoke” giả mạo, vì vậy đừng bao giờ bấm vào liên kết từ tin nhắn riêng hoặc quảng cáo.
2. 2Kết nối ví hoặc dán địa chỉ của bạn. Dán địa chỉ cho phép bạn xem phê duyệt mà không cần kết nối. Bạn chỉ cần kết nối để gửi giao dịch thu hồi.
3. 3Chọn mạng. Phê duyệt được tính theo từng chuỗi. Kiểm tra Ethereum, sau đó từng mạng bạn dùng, như Arbitrum, Optimism, Base, Polygon hoặc BNB Smart Chain.
4. 4Xem lại danh sách. Với mỗi phê duyệt, bạn sẽ thấy token, hợp đồng được quyền chi tiêu, mức hạn mức và thường là thời điểm cấp.
5. 5Xác định cần thu hồi gì. Ưu tiên các hạn mức không giới hạn, những bên chi tiêu bạn không nhận ra, ứng dụng bạn không còn dùng và bất kỳ hợp đồng nào liên quan đến một vụ khai thác đã biết.
6. 6Bấm thu hồi và xác nhận trong ví. Đọc yêu cầu của ví: đó phải là lệnh gọi approve đặt hạn mức về 0 (hoặc lệnh gọi setApprovalForAll được đặt thành false đối với NFT).
7. 7Lặp lại cho từng mạng. Sau đó làm mới trang để xác nhận các phê duyệt đã biến mất.

Nên thu hồi phê duyệt nào trước

Những điều thu hồi không thể làm

Thu hồi mang tính phòng ngừa, không phải cách chữa. Nó sẽ không:

• Trả lại token đã bị chuyển đi.
• Bảo vệ bạn nếu cụm từ khôi phục hoặc khóa riêng của bạn đã bị đánh cắp. Khi đó kẻ tấn công có thể ký bất cứ thứ gì; hãy chuyển tài sản còn lại sang ví mới như hướng dẫn trong cần làm gì ngay khi ví bị xâm phạm.
• Hủy một cách đáng tin cậy các chữ ký permit off-chain bạn đã đưa ra. Chúng tuân theo quy tắc hết hạn và nonce riêng, vì vậy nếu bạn đã ký một permit đáng ngờ, cách an toàn nhất là chuyển các token bị ảnh hưởng sang một ví mới.

Giảm rủi ro phê duyệt về sau

• Đặt hạn mức tùy chỉnh. Nhiều ví cho phép bạn sửa số lượng trong yêu cầu phê duyệt. Chỉ phê duyệt số bạn định chi tiêu.
• Dùng ví riêng để thử nghiệm. Giữ một ví dùng tạm cho ứng dụng mới, mint và airdrop, và giữ tiền dài hạn trong một ví không bao giờ kết nối với trang lạ.
• Đọc mọi yêu cầu ký. Nếu một trang yêu cầu bạn ký một thông điệp mà bạn không hiểu, hãy dừng lại.
• Xem lại phê duyệt thường xuyên. Vài tháng một lần và sau khi thử bất kỳ ứng dụng mới nào.
• Kiểm tra cả các trang đã kết nối. Kết nối và phê duyệt là hai việc khác nhau; xem quyền của ví và các trang đã kết nối.

Những sai lầm thường gặp

• Dùng công cụ thu hồi giả mạo tìm thấy qua quảng cáo tìm kiếm hoặc một bình luận trên mạng xã hội.
• Thu hồi trên Ethereum nhưng quên cùng ví đó trên các mạng layer 2.
• Cho rằng ngắt kết nối một trang trong ví sẽ xóa các phê duyệt của trang đó. Không phải vậy.
• Bỏ qua các token giá trị nhỏ; kẻ tấn công thường quét sạch mọi thứ chúng lấy được.

Kết luận

Phê duyệt token là những quyền thường trực tồn tại lâu hơn khoảnh khắc bạn cấp chúng. Kiểm tra thì miễn phí, thu hồi thì rẻ, và làm việc này thường xuyên sẽ chặn một trong những con đường phổ biến nhất mà drainer sử dụng. Hãy biến nó thành thói quen, chỉ phê duyệt những gì bạn cần và giữ phần tài sản chính trong một ví hiếm khi ký bất cứ thứ gì.