Przewodnik · Ryzyko portfela · Październik 2026 · Stefan Tsezarov

Co faktycznie podpisujesz, zatwierdzając token

Zezwolenie na wydawanie pieniędzy może mieć takie samo znaczenie jak płatność.

Otwierasz aplikację wymiany, wybierasz token i podłączasz swój portfel. Przed wymianą Twój portfel poprosi Cię o zatwierdzenie wydatków.

Wygląda na to, że żadne żetony nie opuszczają. Wygląda na krok konfiguracji.

Jest to krok konfiguracji —, ale daje on innemu adresowi pozwolenie na przeniesienie twoich tokenów. W zależności od tego, co zatwierdzisz, pozwolenie to może pozostać na długo po zamknięciu witryny.

Zatwierdzenia są normalną częścią korzystania z aplikacji kryptograficznych. Ryzyko polega na przyznaniu większego dostępu, niż zamierzałeś, lub na niewłaściwym adresie.

W tym przewodniku wyjaśniono, co oznacza ten dostęp, co należy sprawdzić przed podpisaniem i co zrobić, jeśli zatwierdzono już coś podejrzanego.

Obejmuje Ethereum i kompatybilne sieci. Inne łańcuchy bloków korzystają z różnych systemów uprawnień.

01 Zgoda daje pozwolenie na wydatkowanie

Twój portfel zawiera klucze, których używasz do autoryzacji działań. Saldo Twojego tokena jest rejestrowane w inteligentnej umowie tokena.

Aby aplikacja do wymiany lub wypożyczania mogła przenieść te tokeny, zwykle potrzebuje najpierw Twojej zgody. Udzielasz tego uprawnienia adresowi zwanemu modułem wydającym . Dozwolona kwota nazywana jest zasiłkiem .

Załóżmy, że chcesz zamienić 50 USDC.

Zatwierdzenie 50 USDC umożliwia wydawcy wykorzystanie tej kwoty.
Zatwierdzenie nieograniczonej liczby USDC pozwala na pobranie dostępnego salda USDC, w tym USDC, które otrzymasz później, dopóki to zezwolenie pozostaje aktywne.

To zatwierdzenie dotyczy określonego tokena w tej sieci. Samo w sobie nie zapewnia dostępu do wszystkiego, co znajduje się w Twoim portfelu.

Standardowe zatwierdzenie tokena zazwyczaj nie ma terminu ważności. Pozostaje ona do czasu jej zmiany, odwołania lub wyczerpania przysługującego jej limitu. Zamknięcie strony lub odłączenie portfela nie powoduje jego usunięcia. Revoke.cash wyjaśnia różnicę pomiędzy rozłączeniem a odwołaniem .

02 Różne żądania dają różne uprawnienia

Treść portfela jest różna. Oto główne prośby o uznanie:

Żądanie	Co może autoryzować
Zatwierdź lub limit wydatków	Osoba wydająca może przesunąć maksymalnie określoną ilość jednego żetonu.
Set approval for all	Operator może przenieść wszystkie Twoje NFT w ramach określonej kolekcji lub umowy, w tym te, które nabędziesz później, gdy zatwierdzenie pozostanie aktywne.
Permit	Podpis, który można złożyć później w celu utworzenia przydziału tokenu.
Permit2	Podpis, który może upoważnić do przyznania świadczenia czasowego lub jednorazowego przelewu, w zależności od żądania.

Zatwierdzenie “ dla wszystkich ” ma szerszy zakres niż zatwierdzenie jednego NFT, ale nadal obejmuje zakres odpowiedniego kontraktu NFT. ERC-721 definiuje te uprawnienia .

Podpis może upoważniać do wydatków bez opłaty za gaz

Standardowe zatwierdzenie zwykle wymaga transakcji w łańcuchu. Zezwolenie rozpoczyna się od podpisu poza łańcuchem: jego podpisanie samo w sobie nie tworzy transakcji typu blockchain ani nie ładuje gazu.

Ktoś inny może złożyć ten podpis później i uiścić opłatę transakcyjną.

W przypadku standardowego zezwolenia ERC-2612 termin jest ostatnim momentem, w którym można złożyć podpis. Nie jest to data wygaśnięcia zasiłku utworzonego w chwili jego złożenia. ERC-2612 określa, jak to działa. .

Zezwolenie 2 działa inaczej. Wymaga istniejącego zatwierdzenia tokena do umowy Permit2, a następnie obsługuje ograniczone czasowo uprawnienia do wydatków lub jednorazowe podpisane przelewy. Dokumentacja Uniswap Permit2 wyjaśnia obie trasy .

Nie ma potrzeby zapamiętywania standardów. Zapamiętaj to:

Brak opłaty za gaz nie oznacza braku konsekwencji finansowych.

Nie każdy podpis zapewnia dostęp do wydatków. Wiadomość logowania może służyć innemu celowi. Przeczytaj, do czego upoważnia żądanie, zamiast oceniać je za pomocą przycisku “ Znak ”.

03 Jak oszuści korzystają z tych uprawnień

Fałszywa witryna nie zawsze prosi o przesłanie kryptowalut. Może poprosić Cię o “ zweryfikowanie Twojego portfela ”, “ odebranie nagrody ” lub “ kontynuacja ”.

Za tym przyciskiem znajduje się żądanie przyznania atakującemu dostępu.

Witryna może wówczas wyświetlić błąd. Zamykasz, zakładając, że nic się nie stało. Jednak osoba atakująca może już mieć użyteczną zgodę lub podpis.

Przeniesienie może nastąpić natychmiast lub później. Nie otrzymasz drugiej prośby o zatwierdzenie.

Aby tak się stało, Twoja fraza odzyskiwania nie musi zostać skradziona. Nawet portfel sprzętowy nie jest w stanie ochronić Cię przed szkodliwym zezwoleniem, na które sam sobie pozwolisz. Revoke.cash opisuje to ograniczenie .

04 Pięć kontroli przed zatwierdzeniem lub podpisaniem

Ilustracja, a nie prawdziwy portfel: układy i etykiety różnią się w zależności od portfela, a podany tutaj adres wydającego jest fikcyjny. Szukaj tych samych czterech rzeczy, jakkolwiek nazywa je Twój portfel.

1. Dopasuj żądanie do zamierzonego działania

Zamiana może w uzasadniony sposób wymagać dostępu do tokena, który sprzedajesz.

Proste logowanie lub zwykłe zgłoszenie zrzutu nie powinno wymagać nieograniczonego dostępu do istniejących tokenów. Jeśli na stronie jest napisane “ Sprawdź ”, a na Twoim portfelu jest napisane “ Zatwierdź wydatki ” , zatrzymaj się i ustal dlaczego.

2. Sprawdź, kto otrzymuje pozwolenie

Osoba wydająca to adres otrzymujący dostęp. Znajome logo lub nazwa umowy nie jest dowodem na to, że należy ono do aplikacji.

Skorzystaj z oficjalnej dokumentacji aplikacji, aby sprawdzić oczekiwaną umowę i sieć. Niektóre aplikacje korzystają z kilku kontraktów, więc zgadywanie na podstawie etykiety adresowej jest zawodne.

3. Ogranicz ilość

Jeśli pozwala na to Twój portfel, zatwierdzaj tylko to, czego potrzebuje działanie.

W przypadku swapu na kwotę 50 USDC, nieograniczony limit odsłania więcej USDC niż jest to konieczne. Mniejszy limit ogranicza tę ekspozycję; nie czyni to złośliwego nadawcy godnym zaufania.

4. Czytaj podpisy z taką samą ostrożnością jak transakcje

Poszukaj tokena, wydającego, kwoty, sieci i terminu lub wygaśnięcia. Nazwy pól są różne.

Jeśli portfel nie może wyjaśnić żądania wystarczająco jasno, abyś mógł je zrozumieć, odrzuć je i sprawdź w oficjalnej dokumentacji aplikacji.

5. Trzymaj oszczędności oddzielnie od nieznanych aplikacji

Używaj osobnego portfela z niewielkim saldem do wypróbowywania nowych usług. Unikaj podłączania portfela, w którym przechowujesz długoterminowe oszczędności.

Ogranicza to zakres szkodliwej zgody.

05 Jeśli już coś zatwierdziłeś

Jeśli podejrzewasz czynną kradzież, działaj natychmiast. Rutynowe czyszczenie zatwierdzenia i odsłonięty podpis to różne sytuacje.

W przypadku istniejących atestów:

Otwórz bezpośrednio Revoke.cash lub narzędzie do sprawdzania zatwierdzenia tokenu Etherscan . Unikaj linków wysyłanych przez niechciane konta obsługi “ ”.
Sprawdź każdą sieć, z której korzystasz. Możesz sprawdzić adres publiczny bez podpisywania transakcji.
Cofnij uprawnienia, których już nie potrzebujesz, nadając priorytet podejrzanym wydającym i niepotrzebnym nieograniczonym przydziałom.
Potwierdź, że każda transakcja unieważnienia zakończyła się pomyślnie. Obowiązują opłaty sieciowe.

Cofnięcie usuwa pozwolenie na wydatki. Nie odzyskuje już przeniesionego majątku. Odłączenie witryny nie zastępuje tego. FAQ Revoke.cash obejmuje te limity .

Jeśli podpisałeś podejrzane pozwolenie

Niewykorzystany podpis może nie pojawić się w module sprawdzania zatwierdzeń.

Odwołanie widocznego uprawnienia nie może unieważnić tego podpisu. Na przykład, niewygasłe zezwolenie ERC-2612 może nadal tworzyć przydział, jeśli jego wartość —, licznik uniemożliwiający ponowne użycie —, pozostaje ważny. Zobacz specyfikację ERC-2612 .

Rozważ przeniesienie dotkniętych zasobów do osobnego portfela, który kontrolujesz. Nie zwracaj ich na ujawniony adres, dopóki podpis nie zostanie unieważniony lub nie będzie mógł być już używany. Przenoszenie zasobów i cofanie uprawnień może ścigać się z atakującym; żadne z nich nie gwarantuje, że będziesz działać pierwszy.

Jeśli ujawniono Twoją frazę odzyskiwania lub klucz prywatny, utwórz portfel z nową frazą odzyskiwania. Inne konto wywodzące się z ujawnionej frazy nie jest bezpiecznym zamiennikiem.

Uważaj na niechciane oferty odzyskania należności, w szczególności żądania płatności z góry lub określenia zwrotu.

06 Co SaveSaveSaveSave może Ci pomóc sprawdzić

Skaner wiadomości może oznaczyć sformułowania, które popychają cię do podpisywania wiadomości, zatwierdzania nieograniczonych wydatków lub udzielania szerokich uprawnień do tokena.

Jest to ostrzeżenie dotyczące wklejanego tekstu. Nie jest to kontrola żądania znajdującego się w Twoim portfelu.

Skaner nie ustala, do czego upoważnia podpis, nie wymienia istniejących uprawnień ani nie gwarantuje, że wydający jest godny zaufania. Sprawdzenie adresu bez zgłoszonych ostrzeżeń nie jest powodem do jego zatwierdzenia.

Użyj modułu sprawdzania zatwierdzeń, aby sprawdzić istniejące uprawnienia. Przed przyznaniem nowego ustal trzy rzeczy:

Kto może wydać, jakie aktywa może osiągnąć i na ile pozwala.

Adres wydającego i strona na ilustracji są fikcyjne. Ten przewodnik zawiera informacje ogólne, a nie porady finansowe.

Sprawdź wiadomość zanim podpiszesz →