Безопасность
Что такое approve в криптокошельке и почему это риск
Approve в криптокошельке - это разрешение смарт-контракту пользоваться конкретным токеном на вашем адресе. Это не обычный перевод: деньги не уходят сразу, но сайт или приложение получает право списать токены в рамках выданного разрешения.
Короткий ответ
Approve разрешает смарт-контракту тратить ваш токен. Например, вы хотите обменять USDT на другой токен через децентрализованный обменник. Сначала кошелек может попросить approve для USDT, а уже потом отдельную транзакцию обмена. Если разрешение выдано нормальному контракту и на понятную сумму, это обычная часть работы DeFi. Если разрешение выдано фейковому сайту или на неограниченную сумму, появляется риск потерять токены.
Чем approve отличается от обычного перевода
При обычном переводе вы отправляете конкретную сумму на конкретный адрес. После подтверждения транзакции средства уходят. При approve вы не отправляете токен сразу. Вы говорите смарт-контракту: "этому контракту можно списывать такой-то токен с моего адреса".
Поэтому approve часто выглядит менее опасным: баланс вроде бы остается на месте. Но именно из-за этого люди иногда подтверждают разрешения невнимательно. Вредный контракт может использовать разрешение позже, когда пользователь уже закрыл сайт и забыл о действии.
| Действие | Что происходит | Главный риск |
|---|---|---|
| Перевод | Вы отправляете сумму на адрес получателя. | Ошибиться адресом, сетью или суммой. |
| Approve | Вы разрешаете контракту тратить токен. | Дать лишний доступ фейковому или взломанному контракту. |
| Unlimited approve | Контракт получает разрешение на очень большую или фактически неограниченную сумму. | При проблеме контракт может списать больше, чем вы ожидали. |
Почему approve может быть опасен
Сам по себе approve не зло. Это технический механизм, без которого многие приложения не смогли бы работать. Риск появляется, когда человек подтверждает разрешение без проверки: не тот сайт, не тот контракт, слишком большая сумма, непонятный токен, странная подпись в кошельке.
Особенно опасны страницы, которые обещают airdrop, бонус, разблокировку средств, продажу "случайно пришедшего" токена или проверку кошелька. Часто задача такого сайта - не помочь, а заставить пользователя подключить кошелек и выдать разрешение.
Как approve обычно выглядит в окне кошелька
В разных кошельках формулировки отличаются, но смысл похожий. Вы видите сайт, сеть, токен и действие вроде "разрешить", "approve", "spending cap" или "разрешить тратить". Это не экран обычного перевода, где есть адрес получателя и точная сумма отправки. Здесь кошелек показывает, какому контракту вы даете право работать с токеном.
Главное - не нажимать подтверждение только потому, что окно выглядит привычно. Проверьте три вещи: какой токен указан, какой лимит разрешения выставлен и совпадает ли сайт с тем сервисом, которым вы действительно хотели воспользоваться. Если вы хотели просто посмотреть страницу, а сайт внезапно просит approve на USDT, это повод остановиться.
| Что видно в кошельке | Как читать | Когда остановиться |
|---|---|---|
| Token / Asset | Какой токен получает разрешение. | Указан не тот токен или токен, который не нужен для действия. |
| Spender / Contract | Какой контракт сможет тратить токен. | Контракт неизвестный, а сайт открыт по случайной ссылке. |
| Spending cap / Allowance | Максимальная сумма, которую контракт сможет использовать. | Стоит unlimited или очень большая сумма без причины. |
| Network | В какой сети вы выдаете разрешение. | Сайт переключил сеть, а вы не понимаете зачем. |
Ограниченный approve и unlimited approve
Ограниченный approve задает лимит: например, контракту можно использовать только 50 USDT. Unlimited approve дает очень большой лимит, который в интерфейсе часто выглядит как "unlimited", "max" или огромная цифра. Сервисам это удобно: пользователь не подтверждает approve перед каждой операцией. Но с точки зрения безопасности такой доступ хуже, потому что разрешение остается после сделки.
Если вы делаете разовый обмен, разумнее выдавать разрешение примерно на сумму операции. Если кошелек или сервис не дает выбрать лимит, надо особенно внимательно оценить сам сервис. Для постоянных проверенных сервисов unlimited approve иногда используют осознанно, но для случайных сайтов, airdrop-страниц и непонятных приложений это плохая идея.
Что проверить перед approve
- Домен сайта: нет ли похожей подделки, лишних букв, дефисов и странной доменной зоны.
- Какой токен запрашивает разрешение: USDT, другой стейблкоин, NFT или непонятный токен.
- Сумму разрешения: ограниченная сумма обычно безопаснее, чем unlimited approve.
- Контракт: совпадает ли он с официальным сервисом, а не со случайной ссылкой из чата.
- Зачем это действие нужно: если цель непонятна, лучше не подтверждать.
Примеры, где approve встречается
Нормальный сценарий: вы заходите на известный DeFi-сервис, подключаете кошелек, выбираете обмен конкретного токена и подтверждаете approve на сумму сделки. После этого подтверждаете сам обмен.
Подозрительный сценарий: вам прислали ссылку на "получение бонуса", сайт просит подключить кошелек, а затем требует approve на токены, которые уже лежат у вас на адресе. Если сайт неизвестный, а смысл операции туманный, подтверждать нельзя.
Как выглядит типичная ловушка с approve
Сценарий часто начинается спокойно. Пользователь видит в кошельке непонятный токен или получает ссылку на "раздачу". На сайте написано, что нужно подключить кошелек и подтвердить действие, чтобы получить награду, продать токен или "активировать" баланс. После подключения появляется окно approve. Человек думает, что это формальность, и подтверждает.
Дальше вредный контракт получает право использовать токен. Иногда списание происходит почти сразу, иногда позже. Поэтому после подозрительного approve важно не ждать, а проверить разрешения и отозвать лишние. Если токены уже списаны, revoke не вернет их обратно, но может закрыть доступ на будущее.
Практическая модель поведения
- Для неизвестных сайтов используйте отдельный кошелек без существенных сумм.
- Не выдавайте approve ради проверки, бонуса, "синхронизации" или общения с поддержкой.
- Для разовых операций предпочитайте ограниченный лимит, если кошелек позволяет его задать.
- После работы с новым DeFi-сервисом проверьте разрешения токенов.
- Если действие выглядит непонятно, лучше отменить и разобраться, чем подтверждать наугад.
Как принять решение за минуту
Approve можно подтверждать только тогда, когда совпали три условия: вы понимаете сайт, понимаете токен и понимаете лимит. Если хотя бы один пункт неясен, действие лучше отменить. Это особенно важно для USDT, стейблкоинов и токенов, где на адресе лежит заметная сумма.
| Вопрос | Нормальный ответ | Повод отменить |
|---|---|---|
| Зачем нужен approve? | Для конкретного обмена, моста или действия, которое вы сами начали. | Сайт просит approve просто для входа, проверки или получения бонуса. |
| Какой токен указан? | Тот токен, с которым вы собираетесь работать. | Указан USDT или другой ценный токен, хотя вы не планировали его использовать. |
| Какой лимит разрешения? | Сумма близка к операции или понятна по сценарию. | Unlimited approve без причины или сумма намного больше операции. |
| Кому дается доступ? | Контракт связан с проверенным сервисом. | Контракт неизвестный, а сайт открыт из рекламы, чата или личного сообщения. |
Если сомневаетесь, не нужно "проверять на маленькую сумму" через основной кошелек. Для теста лучше использовать отдельный адрес, где нет ценных токенов. Но даже на тестовом адресе не вводите seed-фразу на сайтах: approve и seed-фраза - разные вещи, и сайту для approve seed не нужна.
Частые ошибки
- Считать approve безобидным, потому что деньги не уходят сразу.
- Подтверждать unlimited approve на неизвестных сайтах.
- Использовать основной кошелек для экспериментов с сомнительными сервисами.
- Не проверять старые разрешения после подключения к новым DeFi-сайтам.
- Путать approve с подписью сообщения. Это разные действия, но оба требуют внимания.
Частые вопросы
Approve может украсть seed-фразу?
Нет. Approve не раскрывает seed-фразу. Но вредное разрешение может позволить контракту списать токены. Если сайт просит seed-фразу, это уже не approve, а явный признак мошенничества.
Нужно ли всегда отказывать approve?
Нет. Без approve многие приложения не работают. Задача не в том, чтобы запрещать все, а в том, чтобы понимать сайт, токен, сумму и смысл разрешения.
Что делать, если я уже выдал разрешение?
Проверьте активные разрешения и отзовите лишние. Для этого есть отдельная инструкция: как проверить разрешения токенов и отозвать доступ к кошельку.
Что читать дальше
Чтобы видеть картину целиком, разберите что сайт может видеть после подключения кошелька, чем опасны скам-токены и как проверять сайт кошелька или биржи.
