Самый дорогой клик в крипте часто происходит ещё до того, как токены сдвинулись с места.

Разрешение на токен — это право, которое вы даёте смарт-контракту тратить определённый токен из вашего кошелька от вашего имени. Обычно оно появляется перед обменом, стейкингом или депозитом. Это не сам обмен, и если разрешение безлимитное, оно может оставаться активным ещё долго после первого действия. Из этой статьи вы узнаете, что значит разрешение на токен в крипте, почему кошельки просят его перед обменом, что такое безлимитное разрешение и как обезопасить себя с помощью более понятных запросов на подтверждение транзакций.

Коротко

• Разрешение на токен позволяет смарт-контракту тратить токен из вашего кошелька в пределах одобренного вами лимита.

• Разрешение обычно отделено от обмена, поэтому нажатие «Approve» не значит, что сделка уже прошла.

• Безлимитные разрешения распространены, потому что экономят на повторных комиссиях gas и лишних кликах, но они повышают риск, если получатель окажется мошенником или будет позже взломан.

• walllet.com построен на более понятных запросах на подтверждение транзакций, чтобы пользователи лучше понимали разрешения до подписи.

Что такое разрешение на токен?

Разрешение на токен — это один из тихих маленьких люков в крипте. Никакой громкой красной сирены. Никакого заметного баннера «вы сейчас рискуете кошельком». Просто кнопка с надписью вроде Approve USDC или Allow spending cap.

Под капотом эта кнопка обычно устанавливает лимит (allowance). В стандарте токенов ERC-20 функция approve позволяет вам уполномочить получателя, обычно смарт-контракт, а transferFrom позволяет этому получателю перемещать токены в пределах разрешённой суммы. Такая схема нужна, чтобы другие приложения могли работать с вашими токенами без того, чтобы вы сначала переводили их вручную.

Разрешение на токен означает следующее:

Я разрешаю этому контракту использовать до этой суммы этого токена из моего кошелька.

Это нормально. Но именно здесь многие пользователи и путаются.

Разрешение, обмен и подпись

Прежде чем углубляться, вот различие, которое на самом деле нужно большинству:

Одна эта таблица снимает много тревоги. Многие думают, что «Approve» означает «совершить сделку». Это не так. Разрешение — это право. Обмен — это действие.

По теме: Можно ли взломать кошелёк? Да, но обычно не так, как вы думаете

Зачем нужны разрешения на токены?

Потому что токены ERC-20 спроектированы так, чтобы другие приложения могли работать с ними стандартным образом.

Стандарт ERC-20 прямо описывает transferFrom как механизм списания, который позволяет контрактам переводить токены от вашего имени после того, как вы их уполномочили. Это делает возможными децентрализованные биржи, протоколы кредитования, доходные продукты и другие dApp. Без разрешений каждому приложению понадобилась бы более неудобная собственная схема.

Так что разрешения — не какая-то сомнительная побочная функция. Это часть того, как работают современные приложения на токенах.

Проблема не в том, что разрешения существуют.

Проблема в том, что многие кошельки и dApp до сих пор плохо их объясняют.

Почему перед обменом нужно разрешение?

Если вы обмениваете токен ERC-20, например USDC, USDT или WETH, контракту обмена обычно нужно разрешение, чтобы списать этот токен из вашего кошелька и завершить сделку. Поэтому процесс часто идёт в два шага:

Сначала вы даёте разрешение на токен.
Затем выполняете обмен.

Поэтому же некоторым пользователям кажется, что что-то сломалось.

Они дают разрешение, видят, что баланс ещё не изменился, и решают, что кошелёк дал сбой. Но разрешение — это лишь право. Если вторая транзакция так и не произойдёт, обмена актива тоже не будет. walllet.com уже указывает именно на эту путаницу в своих недавних материалах поддержки — это одна из причин, почему понятность транзакций так важна в дизайне кошелька.

Что означает «Approve» в кошельке?

Когда кошелёк просит одобрить токен, на самом деле он задаёт сразу три вопроса:

• Какой токен? Например, USDC, WETH или другой актив ERC-20.

• Какой получатель? Обычно смарт-контракт приложения, которым вы пользуетесь.

• Сколько? Конкретная сумма или иногда практически безлимитная.

Последний пункт — самый острый.

Ограниченное разрешение по сути говорит: «этот контракт может потратить 50 USDC».
Безлимитное разрешение по сути говорит: «этот контракт может тратить сколько угодно этого токена, сейчас или позже, пока я не отзову разрешение».

Не все кошельки позволяют легко увидеть эту разницу. Именно этот пробел в удобстве и пытается закрыть walllet.com. Его продукт и обучающие материалы раз за разом описывают запросы на подтверждение транзакций человеческим языком: показывают действие, актив, сумму, разрешения, контрагента и сеть, а не оставляют пользователя расшифровывать лавину текста контракта.

Что такое безлимитное разрешение на токен?

Безлимитное разрешение на токен, его также называют бесконечным, даёт получателю очень большой максимальный лимит — в реализациях ERC-20 часто это максимальное значение uint256. Когда лимит равен максимальному uint256, он работает как бесконечное разрешение.

Зачем приложения это просят?

В основном ради удобства.

Многие легитимные dApp запрашивают фактически безлимитные разрешения, чтобы пользователю не приходилось платить gas и подтверждать новое разрешение при каждом взаимодействии. Иначе говоря: меньше кликов сейчас, больше постоянных прав потом. Это реальный компромисс. И именно здесь появляется риск.

По теме: Как избежать крипто-фишинга: что walllet.com никогда не попросит вас сделать

Опасно ли разрешение на токен?

Иногда да. Всегда — возможно.

Разрешение на токен не опасно само по себе. Многим безопасным и легитимным приложениям разрешения нужны для работы. Но разрешение становится рискованным, если верно одно из следующего:

• Вы не понимаете, какой контракт одобряете.

• Вы одобряете поддельное или вредоносное dApp.

• Вы даёте лимит гораздо больше нужного.

• Вы оставляете старые разрешения активными долго после того, как перестали пользоваться приложением.

• Одобренный контракт позже взламывают.

Поэтому мошенничество с разрешениями так неприятно. Пользователи часто не раскрывали seed-фразу. Не отдавали пароль. Они просто одобрили не то.

Через безлимитные разрешения многие вредоносные сайты и обкрадывают ничего не подозревающих пользователей. Поэтому будьте предельно осторожны с разрешениями: мошенники могут обманом заставить подписать передачу прав, а блокчейн выполнит всё, что разрешение позволяет.

Важный нюанс: разрешение обычно привязано к конкретному токену и получателю, а не ко всему кошельку. Если вы одобрили WETH, это не даёт автоматически доступ ко всем остальным вашим активам. Но если разрешение широкое, а получатель недобросовестный, потери по этому токену всё равно могут быть болезненными.

Разрешение, которое большинство игнорирует

Разрешения легко игнорировать, потому что они не ощущаются как движение денег.

В этом и подвох.

• Обмен кажется рискованным, потому что это явно активное действие. Средства меняют форму. Цифры двигаются. Что-то происходит.

• Разрешение кажется безобидным, потому что всё происходит за кулисами. Но именно за кулисами рабочие сцены держат все верёвки.

Здесь у walllet.com есть важное преимущество. Продукт построен на самостоятельном хранении без лишних сложностей — с passkey и биометрией вместо театра с seed-фразой — и при этом старается сделать намерение транзакции понятнее до того, как вы её одобрите. walllet делает акцент на понятных человеку сводках и ясности разрешений, а ключи и учётные данные passkey остаются под вашим контролем, а не на серверах walllet.

Никакой кошелёк не сделает вредоносный контракт безопасным. Но хороший кошелёк может сделать момент перед подписью чем-то большим, чем угадывание.

Как прочитать разрешение перед подтверждением

Прежде чем нажать «одобрить», притормозите и проверьте пять вещей.

1. На какой токен даётся разрешение?

Не одобряйте токен только потому, что интерфейс приложения выглядит знакомо. Убедитесь, что это тот актив, который вы собирались использовать.

2. Кто получатель?

Найдите название контракта или протокола. Если получатель непонятен, уже одно это — повод остановиться.

3. Какой лимит вы даёте?

Конкретная сумма — одно дело. Безлимит — совсем другое. Если для обмена вам нужно всего 40 USDC, фактически бесконечное разрешение стоит перепроверить.

4. Зачем нужно разрешение?

Если действие — это обмен, депозит или стейкинг, разрешение может быть нормальным. Если запрос появляется перед каким-то размытым шагом «подтвердите кошелёк» или на случайной странице аирдропа — уходите.

5. Доверяете ли вы сайту и домену?

Многие потери из-за разрешений начинаются с фишинга, клонов сайтов или поддельных сообщений от «поддержки». Собственное руководство walllet.com по защите от фишинга подчёркивает те же основы: проверяйте настоящий домен, не доверяйте срочности и никогда не подписывайте то, чего не понимаете.

Когда стоит отозвать разрешение?

Не обязательно отзывать каждое разрешение сразу после использования dApp. Но проверять и отзывать разрешения стоит, когда:

• Вы больше не пользуетесь этим приложением

• Вы подключались к сайту, которому теперь не доверяете

• В протоколе, которым вы пользовались, произошёл инцидент безопасности

• Вы замечаете странное поведение кошелька

• Вы хотите снизить риск для крупных активов

Отзыв лимита означает, что dApp больше не сможет получать доступ к соответствующим токенам в вашем кошельке и перемещать их. Блок-эксплореры часто предлагают инструменты проверки разрешений, которые помогают найти и отозвать старые лимиты.

По теме: Как читать крипто-транзакцию в блок-эксплорере

Это хорошая привычка. Не эффектная, но полезная. Крипто-версия чистки фильтра в сушилке до того, как она загорится.

Разрешение — это то же самое, что транзакция?

И да, и нет.

Разрешение часто является отдельной ончейн-транзакцией. Оно стоит gas, записывается в блокчейн и меняет состояние лимита для этого токена. Но это не та же транзакция, что обмен, стейкинг или депозит, который вы хотели завершить. Это действие обычно происходит после. ERC-2612 ввёл альтернативу на основе permit для поддерживаемых токенов: подписанное сообщение может установить разрешение без отдельной ончейн-транзакции. Но суть остаётся той же: вы разрешаете тратить средства.

Так что во многих кошельках разрешение — это транзакция, но, скорее всего, не то итоговое действие, ради которого вы пришли.

Как walllet.com справляется с такими сложностями в крипте

Разрешения на токены находятся на стыке безопасности и удобства, и именно здесь walllet.com старается быть другим.

Если пользователи по-прежнему не понимают, что одобряют, опыт остаётся хрупким. Поэтому так важен понятный человеку дизайн транзакций в walllet. Безопасность — это не только надёжное хранение ключей. Это ещё и понятность намерения до того, как пользователь примет решение.

Разрешения — идеальная проверка для такого подхода.

Ведь иногда самый безопасный кошелёк — не тот, что громче всех кричит об опасности. А тот, что объясняет опасность настолько просто, что вы в неё не попадёте.

Попробуйте walllet.com, если вам нужно самостоятельное хранение с passkey, биометрией и более понятными запросами на подтверждение, которые помогают разобраться в разрешениях до подписи.

Читайте также

Крипта и Web3: кошельки, сети и безопасность простыми словами

Как проверить адрес контракта токена перед покупкой или обменом

Как купить WBTC за USDT: что проверить перед обменом

Как безопасно проверить баланс токенов: приложение кошелька, блок-эксплорер и частые ошибки