Как отозвать разрешения USDT и других токенов: простая инструкция

Многие пользователи считают, что если seed-фраза никому не передавалась, то средства в кошельке в полной безопасности. На практике это не всегда так.

Когда вы пользуетесь децентрализованной биржей, мостом или другим криптосервисом, он может попросить разрешение работать с вашими USDT, USDC или другими токенами.

Такое разрешение называется Token Approval.

Простыми словами, вы говорите приложению:

«Ты можешь списать с моего кошелька определенное количество токенов».

Проблема в том, что некоторые разрешения остаются активными даже после того, как вы перестали пользоваться сервисом.

Если контракт окажется взломан или вы случайно выдали разрешение мошенническому сайту, токены могут оказаться под угрозой. Почему уязвимости приложений затрагивают средства пользователей, подробнее объясняем в материале о безопасности криптопротоколов.

Хорошая новость в том, что ненужные разрешения можно проверить и отключить.

Что такое Token Approval простыми словами

Представим, что у вас есть 1 000 USDT.

Вы хотите обменять 200 USDT на другую криптовалюту через децентрализованную биржу.

Чтобы сервис смог провести обмен, вы сначала разрешаете ему списать нужное количество токенов.

Если разрешение выдано только на 200 USDT, риск ограничен этой суммой.

Но иногда приложение предлагает разрешить доступ сразу ко всем токенам.

Это называется Unlimited Approval.

То есть вы фактически говорите:

«Этот контракт может использовать сколько угодно моих USDT».

Даже если сейчас на кошельке лежит 100 USDT, а через месяц вы пополните его еще на 5 000 USDT, старое разрешение может продолжать действовать.

Почему Unlimited Approval может быть опасен

Само по себе такое разрешение не означает, что деньги обязательно украдут.

Но если контракт окажется взломан или разрешение было выдано мошенническому сайту, потенциальный ущерб будет больше.

Простой пример.

На кошельке лежит 5 000 USDT.

Вы хотите обменять 200 USDT.

Вариант 1 — разрешить списание только 200 USDT.

Максимально доступная сумма по этому разрешению — 200 USDT.

Вариант 2 — дать Unlimited Approval.

Тогда контракт потенциально может работать со всем балансом USDT.

Поэтому для разовых операций безопаснее ограничивать сумму разрешения.

Может ли смарт-контракт списать USDT без нового подтверждения

Да, если вы уже дали ему такое разрешение.

Это один из самых важных моментов.

Вы можете закрыть сайт, отключить кошелек и больше ничего не нажимать, но разрешение в блокчейне останется.

Если контракт имеет право списывать ваши токены, для каждой новой операции ваше отдельное подтверждение может не понадобиться.

Именно поэтому простого отключения сайта от MetaMask недостаточно.

Нужно отдельно удалить само разрешение.

Как проверить, кто имеет доступ к вашим USDT

Проверить разрешения можно без передачи seed-фразы.

Достаточно публичного адреса кошелька.

Один из самых известных сервисов для этого — Revoke.cash.

Как проверить разрешения через Revoke.cash

Откройте официальный сайт Revoke.cash.

Введите адрес своего кошелька или подключите его.

Выберите нужную сеть, например Ethereum, BNB Chain или Arbitrum.

После этого сервис покажет список токенов и адресов, которым вы дали доступ.

Обратите особое внимание на разрешения с пометкой Unlimited.

Также стоит проверить старые приложения, которыми вы давно не пользуетесь.

Если контракт вам неизвестен или больше не нужен, разрешение лучше убрать.

Как отозвать разрешение

Процесс называется Revoke.

Простыми словами, вы отменяете ранее выданный доступ.

Порядок такой:

1. Найдите ненужное разрешение.
2. Нажмите Revoke.
3. Проверьте адрес контракта.
4. Подтвердите транзакцию в кошельке.
5. Оплатите сетевую комиссию.
6. После подтверждения еще раз проверьте список разрешений.

Если все прошло успешно, у выбранного контракта больше не будет доступа к вашим токенам через это разрешение.

Сколько стоит Revoke

Отзыв разрешения — это обычная транзакция в блокчейне.

Поэтому приходится платить сетевую комиссию.

В Ethereum она зависит от gas.

Например, если транзакция использует 45 000 gas, а цена gas составляет 10 gwei, комиссия будет около 0,00045 ETH.

Если ETH стоит условно \$3 000, это примерно \$1,35.

При низкой нагрузке сети комиссия может быть меньше.

При высокой — больше.

В сетях второго уровня и некоторых других блокчейнах комиссия обычно ниже.

Важно понимать: Revoke.cash не «берет ваши токены». Он только помогает отправить транзакцию, которая отменяет доступ.

Чем Revoke отличается от простого отключения сайта

Это часто путают.

Если вы отключили сайт от MetaMask, это означает только одно: сайт больше не видит ваш кошелек как подключенный.

Но ранее выданные разрешения могут остаться.

Пример:

Вы подключили кошелек к неизвестному DEX.

Дали ему Unlimited Approval на USDT.

Потом отключили сайт.

Кажется, что связь разорвана.

Но само разрешение в блокчейне остается.

Поэтому нужно отдельно сделать Revoke.

Что такое Permit2 простыми словами

Permit2 — еще один способ давать приложениям разрешение работать с токенами.

Он используется в DeFi, в том числе в экосистеме Uniswap.

Главное отличие в том, что часть разрешений может оформляться не обычной транзакцией, а подписью.

Это удобно, потому что пользователь не платит gas за каждое действие.

Но есть и риск.

Если пользователь подпишет вредоносное сообщение, злоумышленник может получить право использовать токены позже.

Именно поэтому нельзя подписывать сообщения, смысл которых вы не понимаете.

Почему опасная подпись может сработать через несколько месяцев

Некоторые разрешения не используются сразу.

Пользователь может подписать сообщение и забыть об этом.

Через несколько месяцев злоумышленник использует старое разрешение.

Человек при этом ничего нового не подтверждает.

Из-за этого возникает ощущение, что деньги «сами ушли с кошелька».

На самом деле право на операцию могло быть выдано раньше.

Что делать, если подписали подозрительное разрешение

Если вы поняли, что дали доступ неизвестному сайту, лучше действовать быстро.

Сначала проверьте активные разрешения через Revoke.cash.

Отзовите подозрительные approvals.

Если речь шла о Permit или Permit2, дополнительно проверьте такие разрешения отдельно.

Если средства уже списаны, Revoke их не вернет.

Но он может остановить дальнейшие списания через то же разрешение.

Если есть подозрение, что злоумышленник получил seed-фразу или приватный ключ, одного Revoke недостаточно.

В такой ситуации нужен новый кошелек с новой seed-фразой.

Нужно ли отзывать все разрешения подряд

Нет.

Если вы регулярно пользуетесь известным сервисом и доверяете ему, можно оставить ограниченное разрешение.

Но старые и ненужные approvals лучше удалять.

В первую очередь стоит проверить:

• Unlimited Approval;
• неизвестные контракты;
• старые dApp, которыми вы больше не пользуетесь;
• сервисы, которые подвергались взлому;
• подозрительные Permit2-разрешения.

Как сделать использование USDT безопаснее

Самое простое правило — не давать больше доступа, чем нужно.

Если вы хотите обменять 300 USDT, лучше разрешить 300 USDT, а не весь баланс.

Второе правило — периодически проверять активные разрешения.

Третье — не подписывать непонятные сообщения.

Если сайт предлагает «просто подпись без комиссии», это не значит, что она безопасна.

Четвертое — разделять кошельки.

Один использовать для хранения.

Другой — для DeFi и обменов.

Так вы уменьшаете сумму, которая может оказаться под угрозой.

Можно ли хранить USDT без разрешений

Да. Если вы просто держите USDT на кошельке и отправляете их на другие адреса, никакой сторонний сервис не обязан иметь доступ к вашим токенам.

Разрешения обычно появляются тогда, когда вы взаимодействуете с DEX, мостами, DeFi-протоколами и другими приложениями.

Поэтому кошелек, который используется только для хранения, лучше вообще не подключать к случайным сайтам. Если вы только выбираете способ хранения, сравните варианты в обзоре криптокошельков.

Для обычного перевода USDT разрешение стороннему контракту не требуется. Здесь важнее правильно выбрать сеть, сверить адрес и сначала отправить тестовую сумму — пошаговый порядок есть в инструкции о том, как перевести USDT на другой кошелек без ошибки.

Вывод

Token Approval — обычный механизм работы криптосервисов.

Без него многие DEX и DeFi-приложения просто не могли бы проводить операции с вашими токенами.

Проблема возникает тогда, когда разрешение слишком большое, выдано неизвестному сайту или остается активным после того, как сервис больше не нужен.

Самый опасный вариант — Unlimited Approval.

Он может давать контракту доступ ко всему балансу токена и иногда распространяется на будущие пополнения.

Чтобы снизить риск, достаточно регулярно проверять разрешения, отзывать ненужные и ограничивать сумму доступа.

А главное — помнить: отключить сайт от кошелька и отозвать разрешение — не одно и то же.

FAQ

Что такое Token Approval простыми словами?

Это разрешение стороннему сервису или смарт-контракту списывать определенное количество ваших токенов.

Может ли сайт списать USDT без нового подтверждения?

Да, если вы ранее дали ему такое разрешение.

Что такое Unlimited Approval?

Это практически неограниченный доступ контракта к определенному токену на вашем кошельке.

Как проверить разрешения USDT?

Через Revoke.cash, MetaMask Portfolio или блокчейн-эксплореры.

Как отозвать разрешение?

Нужно выбрать ненужный approval, нажать Revoke и подтвердить транзакцию в кошельке.

Нужно ли платить комиссию за Revoke?

Да. Это транзакция в блокчейне, поэтому оплачивается сетевой gas.

Достаточно ли отключить сайт от MetaMask?

Нет. Отключение сайта не удаляет ранее выданные разрешения.

Вернет ли Revoke уже украденные USDT?

Нет. Он может только отменить доступ на будущее.