Әмиян дрейнері әдетте токенді алу үшін ашылатын қарапайым беттей көрінеді, бірақ "Әмиянды қосу" түймесінің артында USDT немесе NFT-ді шектеусіз жылжытуға рұқсат сұрайтын сұраныс тұрады. Бір клик — және бірнеше күннен немесе аптадан кейін әмиян бос қалады, сіз қайта ешнәрсеге қол қоймасаңыз да. Бұл мақалада осындай ұрлықтың қалай жұмыс істейтінін, қазір қандай рұқсаттар белсенді екенін қалай тексеруге болатынын және обменник иесі клиент әмияндарын қоспас бұрын нені білуі керектігін түсіндіреміз.
Дрейнер екінші қолтаңбасыз әмиянды қалай босатады
Механизмі тым қарапайым: кез келген ERC-20 токені иесіне басқа мекенжайға — смарт-келісімшартқа — токенді өз атынан жылжыту құқығын беруге мүмкіндік береді. Бұл approval деп аталады, оны заңды биржалар мен DeFi-протоколдар үнемі қолданады, әйтпесе әр алмасу үшін жеке транзакцияға қол қою керек болады. Мәселе мынада: бұл рұқсатты нақты қалдықтан жүздеген есе көп сомаға беруге болады — "шектеусіз", мұны көптеген интерфейстер келешекте тағы бір клик жасамау үшін әдепкі бойынша ұсынады.
Дрейнер дәл осы әдетті пайдаланады. Жалған airdrop беті "әмиянды қосып, құқығыңызды растауды" сұрайды, ал іс жүзінде алаяқтың келісімшартына шектеусіз approval транзакциясын жасырын жібереді. Қолтаңба зиянсыз көрінеді, газ мөлшері аз, ештеңе бірден шешілмейді. Ал бір-екі аптадан кейін, ол сайт туралы ұмытып кеткен кезде, келісімшарт сол сәтте қалдықта тұрған барлық нәрсені бір шақыруда, сіздің қатысуыңызсыз алып кетеді.
Жалған клейм және бұзылған виджет — екі негізгі кіреберіс
- Токен тарату бойынша жалған беттер — сілтеме танымал жоба атынан Telegram, X немесе электрондық поштаға келеді.
- Заңды сайтқа бұзылған frontend жеткізушісі арқылы орнатылған төлем немесе NFT-маркетплейс виджетінің бұзылуы — пайдаланушы жаңа ештеңе қоспаған, бірақ approval бәрібір іске қосылған.
Дрейнер классикалық фишингтен несімен ерекшеленеді
Әдеттегі фишингте құрбан сид-фразаны немесе жеке кілтті "қолжетімділікті қалпына келтіру" жалған формасы арқылы өзі береді. Дрейнер басқаша жұмыс істейді: кілт сізде қалады, ал смарт-келісімшартқа берілген қолтаңба құқығы ұрланады. Сондықтан мұнда құпиясөз менеджері көмектеспейді, керісінше әмиянда нақты нені растап отырғаныңызды оқу әдеті көмектеседі.
Қандай рұқсаттар бұрыннан берілгенін қалай тексеруге болады
Ethereum, BNB Chain, Polygon сияқты EVM негізіндегі желілерде арнайы revoke-қызметтер бар, олар әмиянға қосылып, әр токен мен келісімшарт бойынша белсенді рұқсаттардың толық тізімін көрсетеді. Бұл банктік үзінді көшірмесін оқуға ұқсас: кімге және қанша сомаға қолжетімділік ашылғанын көресіз де, қайсысы қажет емес екенін шешесіз.
- Revoke-қызметін ашып, әмиянды тек қарау режимінде қосыңыз — қазір қол қою қажет емес.
- Тізімді рұқсат мөлшері бойынша сұрыптап, "unlimited" мәндерін бірінші тексеріңіз.
- Келісімшарт мекенжайын протоколдың ресми сайтымен салыстырыңыз — атауы бойынша болжамдамаңыз.
Қауіпті approval-ды қалай қайтарып алуға болады
Қайтарып алу — лимитті нөлге түсіретін әдеттегі транзакция, оған кез келген басқа аударым сияқты желі комиссиясын төлеу керек. Желі жүктелген кезде газ айтарлықтай көтерілуі мүмкін, сондықтан рұқсаттарды жылына бір рет емес, жаңа airdrop немесе mint-ке қатысқан сайын тексеру дұрыс.
- Тізімде жабу керек рұқсатты таңдап, revoke транзакциясын растаңыз.
- NFT-коллекциялары үшін "setApprovalForAll" тармағын бөлек қараңыз — ол бір токенге емес, бүкіл коллекцияға қолжетімділік береді.
- Қайтарып алғаннан кейін бетті жаңартып, лимиттің жай тізімнен жоғалмай, нақты нөлге түскенін тексеріңіз.
Бұл неге жай "жеке гигиена" емес, обменник үшін де тәуекел
Бірінші қарағанда бұл обменникке қатысы жоқ сияқты — ол клиенттердің жеке кілттерін сақтамайды және олардың атынан approval бермейді. Бірақ соққы көбіне бүйірден келеді: клиент бөтен сайтта қаражатын жоғалтады, себебін шатастырады да, бірінші кезекте соңғы пайдаланған қызметтің — сіздің обменникіңіздің — қолдау қызметіне жазады. Нақты не болғанын анықтау және дрейнер арқылы ұрлық пен сіздің тарапыңыздағы мәселенің айырмасын түсіндіру сіздің қолдау қызметіңіздің еніне түседі.
Тағы бір жағы — обменниктің өз операциялық әмияндары. Егер команда мүшесі клиенттермен есеп айырысуға қатысатын сол әмияннан жаңа DeFi-құралды сынап көрсе, бір абайсыз approval нақты жұмыс балансына тиіп кетуі мүмкін. Әмияндарды рөлі бойынша бөлу — есеп айырысу, сынақ, суық сақтау үшін — бұл жерде формальность емес, жалғыз нақты шекара.
Шектеулер мен жиі кездесетін қателер
Approval-ды қайтарып алу ұрланған токендерді қайтармайды — бұл алдын алу шарасы, болған жағдайдың емі емес. Бір тексеруден кейінгі жалған қауіпсіздік сезімі — тағы бір жиі кездесетін қателік: жаңа протоколмен әрбір өзара әрекетте жаңа approval пайда болады, сондықтан бір реттік тазалау тізімді мәңгілікке жаппайды. Ал мобильді әмияндар рұқсаттарды десктоп интерфейстеріне қарағанда әлдеқайда аз деталмен көрсетеді — толық көрініс үшін кейде revoke-қызметін компьютерден ашу қажет.
Қорытынды
Approval арқылы ұрлау криптодағы ең бағаланбаған қауіптердің бірі болып қалады, өйткені құрбан транзакцияға өзі қол қояды және онда күдікті ештеңе көрмейді. Рұқсаттарды тексеру бірнеше минут алады және оқиғадан кейінгі талдауға қарағанда әлдеқайда арзанға түседі. Обменник үшін бұл клиент сенімі мәселесі де: өз алмасу бизнесін дамытып, тәуекелді сыртқы әмияндарға тәуелділікті азайтқысы келетіндерге меншікті шешімге назар аударған жөн — мысалы, iEXExchanger платформасы құрамындағы iEXWallet.
