Rehber · Cüzdan riski · · Stefan Tsezarov
Bir tokenı onayladığında gerçekte neyi imzalıyorsun
Harcama izni bir ödeme kadar önemli olabilir.
Bir takas uygulaması açıyorsun, bir token seçiyorsun ve cüzdanını bağlıyorsun. Takastan önce cüzdanın harcamayı onaylamanı istiyor.
Hiçbir token çıkmıyor gibi görünüyor. Bir kurulum adımı gibi görünüyor.
Bir kurulum adımıdır, ama başka bir adrese tokenlarını taşıma izni verir. Neyi onayladığına bağlı olarak, bu izin siteyi kapattıktan çok sonra da kalabilir.
Onaylar kripto uygulamalarını kullanmanın normal bir parçasıdır. Risk, istediğinden fazla erişim vermek veya onu yanlış adrese vermektir.
Bu rehber bu erişimin ne anlama geldiğini, imzalamadan önce neyi kontrol etmen gerektiğini ve şüpheli bir şeyi zaten onayladıysan ne yapacağını açıklıyor.
Ethereum'u ve uyumlu ağları kapsar. Diğer blokzincirler farklı izin sistemleri kullanır.
01Onay harcama izni verir
Cüzdanın işlemlere yetki vermek için kullandığın anahtarları tutar. Token bakiyen tokenın akıllı sözleşmesinde kayıtlıdır.
Bir takas veya borç verme uygulamasının bu tokenları taşıyabilmesi için genellikle önce senin iznine ihtiyacı vardır. Bu izni spender (harcayıcı) adı verilen bir adrese verirsin. İzin verilen miktara allowance (harcama limiti) denir.
Diyelim ki 50 USDC takas etmek istiyorsun.
- 50 USDC onaylamak, harcayıcının bu miktara kadar almasına izin verir.
- Sınırsız USDC onaylamak, izin aktif kaldığı sürece daha sonra alacağın USDC dahil mevcut USDC bakiyeni almasına izin verir.
Bu onay, o ağdaki belirtilen tokenla ilgilidir. Tek başına cüzdanındaki her şeye erişim vermez.
Standart bir token onayının genellikle bir son kullanma tarihi yoktur. Sen değiştirene, iptal edene veya harcama limiti tükenene kadar kalır. Web sitesini kapatmak veya cüzdanının bağlantısını kesmek onu kaldırmaz. Revoke.cash bağlantıyı kesmek ile iptal etmek arasındaki farkı açıklıyor (İngilizce).
02Farklı istekler farklı izinler verir
Cüzdanların ifadeleri değişir. Tanıman gereken başlıca istekler şunlar:
| İstek | Neye yetki verebilir |
|---|---|
| Approve veya harcama limiti | Bir harcayıcı, bir tokendan belirtilen miktara kadar taşıyabilir. |
| Set approval for all | Bir operatör, onay aktif kaldığı sürece daha sonra edineceklerin dahil, belirtilen koleksiyon veya sözleşmedeki tüm NFT'lerini transfer edebilir. |
| Permit | Daha sonra bir token harcama limiti oluşturmak için gönderilebilecek bir imza. |
| Permit2 | İsteğe bağlı olarak süre sınırlı bir harcama limitine veya tek seferlik bir transfere yetki verebilen bir imza. |
"Approval for all", tek bir NFT'yi onaylamaktan daha geniştir, ama yine de ilgili NFT sözleşmesiyle sınırlıdır. ERC-721 bu izinleri tanımlar.
Bir imza gas ücreti olmadan harcamaya yetki verebilir
Standart bir onay normalde zincir üzerinde bir işlem gerektirir. Bir permit zincir dışı bir imzayla başlar: onu imzalamak kendi başına bir blokzincir işlemi oluşturmaz veya gas ücreti almaz.
Başka biri bu imzayı daha sonra gönderebilir ve işlem ücretini ödeyebilir.
Standart bir ERC-2612 permit için deadline (son tarih), imzanın gönderilebileceği son zamandır. Gönderildiğinde oluşturulan harcama limitinin son kullanma tarihi değildir. ERC-2612 bunun nasıl işlediğini belirtir.
Permit2 farklı çalışır. Permit2 sözleşmesine mevcut bir token onayı gerektirir, ardından ya süre sınırlı harcama izinlerini ya da tek seferlik imzalı transferleri destekler. Uniswap'in Permit2 belgeleri iki yolu da açıklıyor (İngilizce).
Standartları ezberlemen gerekmez. Şunu hatırla:
Gas ücreti olmaması, finansal sonuç olmadığı anlamına gelmez.
Her imza harcama erişimi vermez. Bir giriş mesajının farklı bir amacı olabilir. İsteği “Sign” düğmesine göre değerlendirmek yerine neye yetki verdiğini oku.
03Dolandırıcılar bu izinleri nasıl kullanır
Sahte bir site her zaman kripto göndermeni istemez. “Cüzdanını doğrulamanı”, “bir ödül talep etmeni” veya “devam etmeni” isteyebilir.
O düğmenin arkasında bir saldırgana harcama erişimi veren bir istek vardır.
Site daha sonra bir hata gösterebilir. Hiçbir şey olmadığını varsayarak kapatırsın. Ama saldırganın elinde kullanılabilir bir onay veya imza olabilir.
Transfer hemen veya daha sonra gelebilir. Onaylaman için ikinci bir istek almazsın.
Bunun olması için kurtarma ifadenin çalınması gerekmez. Bir donanım cüzdanı bile kendin yetki verdiğin zararlı bir izne karşı seni koruyamaz. Revoke.cash bu sınırlamayı anlatıyor (İngilizce).
04Onaylamadan veya imzalamadan önce beş kontrol
1. İsteği yapmak istediğin işlemle eşleştir
Bir takas, sattığın tokena erişim gerektirebilir; bu makul.
Basit bir giriş veya sıradan bir airdrop talebi mevcut tokenlarına sınırsız erişim gerektirmemelidir. Site “Doğrula”, cüzdanın “Harcamayı onayla” diyorsa, dur ve nedenini anla.
2. İzni kimin aldığını kontrol et
Harcayıcı, erişimi alan adrestir. Tanıdık bir logo veya sözleşme adı, uygulamaya ait olduğunun kanıtı değildir.
Beklenen sözleşmeyi ve ağı kontrol etmek için uygulamanın resmi belgelerini kullan. Bazı uygulamalar birkaç sözleşme kullanır, bu yüzden bir adres etiketinden tahmin yürütmek güvenilir değildir.
3. Miktarı sınırla
Cüzdanın izin veriyorsa, yalnızca işlemin gerektirdiği kadarını onayla.
50 USDC'lik bir takas için sınırsız bir harcama limiti gerekenden fazla USDC'yi açıkta bırakır. Daha küçük bir limit bu riski sınırlar; kötü amaçlı bir harcayıcıyı güvenilir yapmaz.
4. İmzaları işlemler kadar dikkatle oku
Token, harcayıcı, miktar, ağ ve herhangi bir son tarih veya bitiş süresine bak. Alan adları değişebilir.
Cüzdan isteği anlayabileceğin kadar net açıklayamıyorsa, reddet ve uygulamanın resmi belgeleri üzerinden araştır.
5. Birikimlerini tanımadığın uygulamalardan ayrı tut
Yeni hizmetleri denemek için küçük bakiyeli ayrı bir cüzdan kullan. Uzun vadeli birikimlerini tutan cüzdanı bağlamaktan kaçın.
Bu, zararlı bir onayın ulaşabileceği şeyi sınırlar.
05Zaten bir şeyi onayladıysan
Aktif bir hırsızlıktan şüpheleniyorsan hızlı davran. Rutin onay temizliği ile açığa çıkmış bir imza farklı durumlardır.
Mevcut onaylar için:
- Revoke.cash veya Etherscan'in Token Approval Checker aracını doğrudan aç. İstenmeden gelen "destek" hesaplarının gönderdiği bağlantılardan kaçın.
- Kullandığın her ağı kontrol et. Herkese açık bir adresi işlem imzalamadan inceleyebilirsin.
- Artık ihtiyacın olmayan izinleri, şüpheli harcayıcılara ve gereksiz sınırsız harcama limitlerine öncelik vererek iptal et.
- Her iptal işleminin başarılı olduğunu doğrula. Ağ ücretleri uygulanır.
İptal etmek harcama iznini kaldırır. Zaten transfer edilmiş varlıkları geri getirmez. Sitenin bağlantısını kesmek bunun yerini tutmaz. Revoke.cash'in SSS'si bu sınırları ele alıyor (İngilizce).
Şüpheli bir permit imzaladıysan
Kullanılmamış bir imza bir onay denetleyicisinde görünmeyebilir.
Görünür bir harcama limitini iptal etmek o imzayı geçersiz kılmayabilir. Örneğin, süresi dolmamış bir ERC-2612 permit, nonce'u (yeniden kullanımı önleyen sayaç) hâlâ geçerliyse yine de bir harcama limiti oluşturabilir. Bkz. ERC-2612 spesifikasyonu.
Etkilenen varlıkları kontrol ettiğin ayrı bir cüzdana taşımayı düşün. İmza geçersiz kılınana veya artık kullanılamayana kadar onları açığa çıkmış adrese geri gönderme. Varlıkları taşımak ve izinleri iptal etmek bir saldırganla yarışa dönüşebilir; ikisi de önce senin davranacağını garanti etmez.
Kurtarma ifaden veya özel anahtarın açığa çıktıysa, yeni bir kurtarma ifadesiyle bir cüzdan oluştur. Açığa çıkmış ifadeden türetilen başka bir hesap güvenli bir yedek değildir.
İstenmeden gelen kurtarma tekliflerine, özellikle peşin ödeme veya kurtarma ifadeni talep edenlere karşı dikkatli ol.
06SaveSaveSaveSave neyi kontrol etmene yardım edebilir
Mesaj tarayıcısı, seni mesaj imzalamaya, sınırsız harcamayı onaylamaya veya geniş token izinleri vermeye iten ifadeleri işaretleyebilir.
Bu, yapıştırdığın metin hakkında bir uyarıdır. Cüzdanının içindeki isteğin incelenmesi değildir.
Tarayıcı bir imzanın neye yetki verdiğini belirlemez, mevcut harcama limitlerini listelemez veya bir harcayıcının güvenilir olduğunu garanti etmez. Bildirilmiş uyarısı olmayan bir adres kontrolü onu onaylamak için bir neden değildir.
Mevcut izinleri gözden geçirmek için bir onay denetleyicisi kullan. Yeni bir izin vermeden önce üç şeyi netleştir:
Kim harcayabilir, hangi varlıklara ulaşabilir ve ne kadarına izin veriyorsun.
Çizimdeki harcayıcı adresi ve site uydurmadır. Bu rehber finansal tavsiye değil, genel bilgidir.