Безопасность
Как проверить разрешения токенов и отозвать доступ к кошельку
Разрешения токенов стоит проверять после работы с DeFi-сайтами, обменниками, мостами, NFT-площадками и любыми сервисами, где кошелек просил approve. Если разрешение больше не нужно или сайт вызывает сомнения, его можно отозвать отдельной транзакцией.
Короткий ответ
Чтобы проверить разрешения токенов, откройте проверенный сервис для вашей сети, подключите кошелек, посмотрите список approvals и отзовите лишние разрешения. Для EVM-сетей обычно используют обозреватели и специализированные revoke-инструменты. Важно открывать их только по проверенному адресу, потому что фейковые "revoke-сайты" сами могут быть ловушкой.
Когда стоит проверять разрешения
- После подключения кошелька к незнакомому сайту.
- После участия в airdrop, mint, claim или presale.
- После обмена токенов через новый DeFi-сервис.
- Если в кошельке появились странные токены и вы переходили по ссылкам из их описания.
- Если вы давно не чистили разрешения на основном кошельке.
Проверка разрешений - это не ежедневная обязательная процедура для всех. Но если кошелек активно используется в DeFi, периодическая ревизия снижает риск. Особенно если вы часто подключаетесь к новым сайтам.
Как проверить разрешения токенов
- Определите сеть: Ethereum, BNB Smart Chain, Polygon, Arbitrum, Optimism или другая EVM-сеть.
- Откройте проверенный инструмент для этой сети. Лучше идти с официального обозревателя или сохраненной закладки.
- Подключите кошелек в режиме просмотра разрешений.
- Посмотрите, какие контракты имеют доступ к токенам.
- Отметьте подозрительные, старые и неиспользуемые разрешения.
- Отзовите лишнее, подтвердив транзакцию в кошельке.
Как понять, что отзывать
| Разрешение | Что это значит | Что делать |
|---|---|---|
| Старый DeFi-сервис | Вы давно им не пользуетесь, но доступ остался. | Можно отозвать, если сервис больше не нужен. |
| Unlimited approve | Контракт может тратить очень большую сумму токена. | Лучше ограничить или отозвать, если нет ясной причины держать. |
| Неизвестный контракт | Вы не помните, где дали разрешение. | Проверить источник. Если сомнительно - отозвать. |
| Активный сервис | Вы регулярно используете этот контракт. | Можно оставить, если доверяете сервису и понимаете сумму. |
Как делать это безопаснее
Не ищите revoke-сервис через случайную рекламу. Откройте официальный обозреватель сети или используйте проверенную закладку. Не вводите seed-фразу. Нормальный revoke-инструмент не просит seed, приватный ключ, пароль от биржи или код 2FA.
Если кошелек показывает непонятную транзакцию, не подтверждайте ее на автомате. Смысл действия должен быть примерно таким: изменить разрешение токена или установить allowance в ноль. Если сайт обещает "полную очистку кошелька", "возврат украденных средств" или "синхронизацию seed-фразы", это опасный сигнал.
Почему нужно проверять каждую сеть отдельно
Один и тот же адрес может использоваться в нескольких EVM-сетях: Ethereum, BNB Smart Chain, Polygon, Arbitrum, Optimism и других. Разрешения в одной сети не означают, что такие же разрешения есть в другой. Если вы давали approve в BNB Smart Chain, проверка только Ethereum ничего не покажет.
Практический порядок такой: вспомните, где вы подключали кошелек, какие сети добавляли и в каких сетях у вас лежат токены. Затем пройдитесь по каждой сети отдельно. Начинайте с сетей, где есть ценные токены или где вы чаще пользовались DeFi-сайтами.
| Ситуация | Что проверить | Почему |
|---|---|---|
| Обменивали токены в Ethereum | Approvals в Ethereum. | Разрешения живут в конкретной сети. |
| Пользовались BNB Smart Chain | Разрешения BSC отдельно. | Даже тот же адрес имеет отдельные контракты и токены. |
| Работали с NFT | Разрешения NFT-коллекций и маркетплейсов. | Опасны не только ERC-20 токены, но и доступ к NFT. |
| Подключались к мосту | Обе сети, между которыми переводили. | Мосты часто запрашивают разрешения на исходной стороне. |
Как разобраться с неизвестным контрактом
В списке разрешений часто видно не красивое название сервиса, а адрес контракта. Это нормально: блокчейн работает с адресами, а не с понятными названиями. Проблема начинается, когда вы не можете связать этот контракт ни с одним действием, которое реально совершали.
Проверяйте неизвестный spender по трем признакам. Первый - токен: на какой актив выдано разрешение. Второй - лимит: ограниченная сумма или unlimited. Третий - время: когда примерно появилось разрешение и совпадает ли оно с вашей активностью. Если вчера вы открывали сомнительный сайт, а сегодня видите unlimited approve на USDT в той же сети, это повод отозвать доступ.
| Признак | Что означает | Как действовать |
|---|---|---|
| Название сервиса понятно | Контракт связан с площадкой, которой вы пользуетесь. | Оставить или ограничить, если доступ еще нужен. |
| Только адрес контракта | Название не распознано или сервис малоизвестный. | Проверить дату, токен и лимит. При сомнениях отозвать. |
| Unlimited approve на ценный токен | Контракт может использовать большой лимит. | Оставлять только для сервиса, которому вы доверяете и реально пользуетесь. |
| Разрешение после странного сайта | Может быть следом от фишинга или скам-страницы. | Отозвать как можно быстрее. |
Что делать, если revoke не проходит
Иногда отзыв разрешения не получается с первого раза. Чаще всего причина не в том, что "кошелек сломан", а в сети или комиссии. Revoke - это обычная транзакция, которая записывает новое значение разрешения в блокчейн. Поэтому для нее нужна нативная монета сети: ETH в Ethereum, BNB в BNB Smart Chain, MATIC или POL в соответствующей сети, ETH в Arbitrum и Optimism.
- Проверьте, что кошелек подключен к той же сети, где выдано разрешение.
- Проверьте, хватает ли нативной монеты на комиссию.
- Если транзакция зависла, посмотрите ее статус в обозревателе блокчейна.
- Не нажимайте несколько раз подряд на сомнительном revoke-сайте. Лучше закройте страницу и откройте проверенный инструмент заново.
- Если комиссия слишком высокая, можно дождаться более спокойного периода в сети, но не откладывайте отзыв подозрительного unlimited approve надолго.
Что делать, если разрешение выдано подозрительному сайту
- Не заходите снова на подозрительный сайт и не подтверждайте новые действия.
- Проверьте разрешения в той сети, где работал сайт.
- Отзовите подозрительные approvals, особенно unlimited approve на ценные токены.
- Проверьте другие сети, если сайт просил переключиться.
- Если токены уже списаны, сохраните TXID и адреса контрактов. Это поможет понять, что произошло.
- Если seed-фраза вводилась на сайте, создайте новый кошелек. Отзыв разрешений уже не решает проблему с утекшей seed-фразой.
Важно не смешивать два риска. Если вы только выдали approve, можно отозвать разрешение. Если вы ввели seed-фразу, приватный ключ или файл восстановления, старый кошелек больше нельзя считать надежным. В такой ситуации нужно переносить оставшиеся средства на новый кошелек с новой seed-фразой.
Как часто проводить ревизию
Для кошелька, который просто получает и отправляет USDT, постоянная ревизия approvals может быть не нужна. Но если кошелек используется для DeFi, NFT, мостов, airdrop и тестов новых приложений, разумно проверять разрешения после каждого сомнительного взаимодействия и периодически раз в несколько недель или месяцев.
Еще один рабочий подход - разделять кошельки. Основной кошелек не подключать к новым сайтам, а для экспериментов держать отдельный адрес с небольшой суммой. Тогда даже ошибка с approve не затронет основные средства.
Частые ошибки
- Думать, что revoke вернет украденные токены.
- Открывать первый сайт из рекламы по запросу "revoke wallet".
- Отзывать все подряд и потом удивляться, что привычный DeFi-сервис снова просит approve.
- Проверять только одну сеть, хотя кошелек использовался в нескольких сетях.
- Не оставлять нативную монету на комиссию.
Частые вопросы
Если я отзову разрешение, токены пропадут?
Нет. Отзыв разрешения не отправляет токены. Он меняет право контракта тратить их в будущем. Но за саму транзакцию отзыва платится комиссия сети.
Нужно ли отзывать разрешение после каждого обмена?
Не всегда. Если это проверенный сервис, которым вы пользуетесь регулярно, можно оставить ограниченное разрешение. Если сервис разовый или сомнительный, лучше отозвать.
Почему кошелек снова просит approve после отзыва?
Потому что вы убрали разрешение. Если снова хотите использовать тот же контракт с этим токеном, сервис попросит approve заново.
Что читать дальше
Сначала разберите что такое approve. Затем полезно понять, что сайт видит после подключения кошелька, и как не попасть на поддельный сайт кошелька или биржи.
