Kriptodaki en pahalı tıklama çoğu zaman hiçbir token hareket etmeden önce yapılır.

Token onayı, bir akıllı sözleşmeye cüzdanınızdan belirli bir token'ı sizin adınıza harcaması için verdiğiniz izindir. Genellikle bir takas, staking veya yatırma işleminden önce çıkar. Takasın kendisi değildir ve onay sınırsızsa, bu izin ilk işlemden çok sonra da aktif kalabilir. Bu yazıda kriptoda token onayının ne anlama geldiğini, cüzdanların takastan önce neden onay istediğini, sınırsız onayın ne olduğunu ve daha anlaşılır işlem ekranlarıyla nasıl daha güvende kalacağınızı öğreneceksiniz.

Kısaca

• Token onayı, bir akıllı sözleşmenin cüzdanınızdaki bir token'ı onayladığınız limite kadar harcamasına izin verir.

• Onay genellikle takastan ayrıdır; yani "Approve" düğmesine tıklamak işlemin gerçekleştiği anlamına gelmez.

• Sınırsız onaylar yaygındır, çünkü tekrar eden gas ücretlerini ve ekstra tıklamaları azaltır; ama harcayıcı kötü niyetliyse veya sonradan ele geçirilirse riski de artırır.

• walllet.com, kullanıcıların imzalamadan önce izinleri daha iyi anlayabilmesi için daha anlaşılır, herkesin okuyabileceği işlem ekranları üzerine kuruludur.

Token onayı nedir?

Token onayı, kriptonun sessiz küçük tuzak kapılarından biridir. Büyük kırmızı bir alarm yok. "Cüzdanınızı riske atmak üzeresiniz" diyen belirgin bir uyarı yok. Sadece Approve USDC veya Allow spending cap gibi bir şey yazan bir düğme.

Arka planda bu düğme genellikle bir harcama izni (allowance) belirler. ERC-20 token standardında approve, bir harcayıcıyı (genellikle bir akıllı sözleşmeyi) yetkilendirmenizi sağlar; transferFrom ise bu harcayıcının izin verdiğiniz tutara kadar token taşımasına olanak tanır. Bu yapı, diğer uygulamaların siz önce token'ları elle aktarmadan token'larınızla etkileşime girebilmesi için vardır.

Token onayı şu demektir:

Bu sözleşmenin, cüzdanımdaki bu token'dan bu tutara kadar kullanmasına izin veriyorum.

Bu normaldir. Ama birçok kullanıcının kafasının karıştığı yer de burasıdır.

Onay, takas ve imza arasındaki fark

Daha derine inmeden önce, çoğu kişinin gerçekten ihtiyaç duyduğu ayrım şu:

Bu tablo tek başına birçok cüzdan kaygısını giderir. Birçok kullanıcı "Approve"un "işlemi yap" demek olduğunu sanır. Değildir. Onay izindir. Takas ise eylemdir.

İlgili: Cüzdanlar Hacklenebilir mi? Evet, Ama Genellikle Sandığınız Şekilde Değil

Token onayları neden var?

Çünkü ERC-20 token'ları, diğer uygulamaların onlarla standart bir şekilde çalışabilmesi için tasarlandı.

ERC-20 standardı transferFrom'u açıkça, siz yetki verdikten sonra sözleşmelerin token'ları sizin adınıza aktarmasını sağlayan bir çekme akışı olarak tanımlar. Merkeziyetsiz borsaları, borç verme protokollerini, getiri ürünlerini ve diğer dApp'leri mümkün kılan budur. Onaylar olmasaydı, her uygulama daha zahmetli, özel bir yapıya ihtiyaç duyardı.

Yani onaylar şüpheli bir yan özellik değildir. Modern token tabanlı uygulamaların çalışma biçiminin bir parçasıdır.

Sorun onayların var olması değil.

Sorun, birçok cüzdanın ve dApp'in bunları hâlâ kötü açıklaması.

Takastan önce neden onay vermem gerekiyor?

USDC, USDT veya WETH gibi bir ERC-20 token'ını takas ediyorsanız, takas sözleşmesinin genellikle bu token'ı cüzdanınızdan çekip işlemi tamamlamak için izne ihtiyacı vardır. Bu yüzden akış çoğu zaman iki adımda olur:

Önce token'ı onaylarsınız.
Sonra takası gerçekleştirirsiniz.

Bazı kullanıcıların bir şeylerin bozuk olduğunu düşünmesinin nedeni de budur.

Token'ı onaylarlar, bakiyelerinin henüz değişmediğini görürler ve cüzdanın başarısız olduğunu varsayarlar. Ama onay sadece izindir. İkinci işlem hiç gerçekleşmezse, varlık dönüşümü de gerçekleşmez. walllet.com güncel destek içeriklerinde tam olarak bu karışıklığa dikkat çekiyor; işlem netliğinin cüzdan tasarımında bu kadar önemli olmasının bir nedeni de bu.

Bir cüzdanda "Approve" ne anlama gelir?

Bir cüzdan sizden bir token'ı onaylamanızı istediğinde, aslında aynı anda üç soru sorar:

• Hangi token? USDC, WETH veya başka bir ERC-20 varlığı olabilir.

• Hangi harcayıcı? Genellikle kullandığınız uygulamaya bağlı bir akıllı sözleşme.

• Ne kadar? Belirli bir tutar ya da bazen pratikte sınırsız bir tutar.

İşlerin kızıştığı yer bu son kısımdır.

Sınırlı bir onay, özünde "bu sözleşme 50 USDC harcayabilir" der.
Sınırsız bir onay ise özünde "bu sözleşme, ben iptal edene kadar, şimdi veya daha sonra, bu token'dan gerektiği kadar harcayabilir" der.

Her cüzdan bu farkı kolayca görünür kılmaz. walllet.com'un kapatmaya çalıştığı kullanıcı deneyimi açığı tam olarak budur. Ürünü ve eğitim içerikleri, işlem ekranlarını sürekli insan diliyle çerçeveler; kullanıcıyı karmaşık sözleşme metnini çözmeye bırakmak yerine işlemi, varlığı, tutarı, izinleri, karşı tarafı ve ağı gösterir.

Sınırsız token onayı nedir?

Sınırsız token onayı (sonsuz onay da denir), harcayıcıya çok büyük bir maksimum izin verir; ERC-20 uygulamalarında bu çoğu zaman maksimum uint256 değeridir. İzin maksimum uint256 olarak ayarlandığında sonsuz onay gibi davranır.

Uygulamalar bunu neden ister?

Çoğunlukla kolaylık için.

Birçok meşru dApp, kullanıcıların her etkileşimde gas ödeyip yeni bir onay vermesini önlemek için pratikte sınırsız onay ister. Yani şimdi daha az tıklama, sonra daha uzun süre geçerli bir izin. Bu denge gerçektir. Risk de buradan sızar.

İlgili: Kripto Oltalamasından Nasıl Korunursunuz: walllet.com'un Sizden Asla İstemeyecekleri

Token onayı tehlikeli mi?

Bazen evet. Her zaman belki.

Bir token onayı sırf var olduğu için tehlikeli değildir. Pek çok güvenli ve meşru uygulamanın çalışması için onay gerekir. Ama şu durumlardan biri geçerliyse onay riskli hale gelir:

• Hangi sözleşmeyi onayladığınızı anlamıyorsunuz.

• Sahte veya kötü niyetli bir dApp'i onaylıyorsunuz.

• Gerekenden çok daha büyük bir izin veriyorsunuz.

• Uygulamayı kullanmayı bıraktıktan çok sonra eski onayları aktif bırakıyorsunuz.

• Onaylanan sözleşme sonradan ele geçiriliyor.

Onay dolandırıcılıklarının bu kadar can sıkıcı olmasının nedeni budur. Kullanıcılar çoğu zaman seed ifadesini sızdırmamıştır. Şifre vermemiştir. Sadece yanlış şeyi onaylamıştır.

Sınırsız onaylar, birçok kötü niyetli sitenin habersiz kullanıcılardan çalma yöntemidir. Bu yüzden onaylarda son derece dikkatli olun; dolandırıcılıklar kullanıcıları haklarını devreden bir imza atmaya kandırabilir ve blokzincir onayın izin verdiği her şeyi yürütür.

Önemli bir ayrıntı: bir onay genellikle tüm cüzdanınıza değil, belirli bir token'a ve harcayıcıya bağlıdır. WETH'i onaylarsanız, bu otomatik olarak sahip olduğunuz diğer tüm varlıklara erişim vermez. Ama onay genişse ve harcayıcı kötüyse, o token'daki kaybınız yine acı verici olabilir.

Çoğu kullanıcının görmezden geldiği izin

Onaylar kolayca görmezden gelinir, çünkü para hareket ediyormuş gibi hissettirmezler.

Hile de buradadır.

• Takas riskli hissettirir, çünkü açıkça aktif bir işlemdir. Fonlar şekil değiştirir. Rakamlar oynar. Bir şey oluyordur.

• Onay zararsız hissettirir, çünkü her şey perde arkasındadır. Ama ipleri perde arkasındaki ekip kontrol eder.

walllet.com'un anlamlı bir farkı burada ortaya çıkar. Ürün; seed ifadesi zahmeti yerine passkey ve biyometri kullanarak, gereksiz sürtünme olmadan kendi kendine saklama üzerine konumlanır ve onaylamadan önce işlemin amacını daha kolay okunur kılmaya çalışır. walllet, herkesin okuyabileceği özetlere ve izinlerin netliğine önem verir; anahtarlar ve passkey bilgileri walllet sunucularında değil, sizin kontrolünüzde kalır.

Hiçbir cüzdan kötü niyetli bir sözleşmeyi güvenli hale getiremez. Ama daha iyi bir cüzdan, imzalamadan önceki anı tahmin oyunu olmaktan çıkarabilir.

Onaylamadan önce bir onay nasıl okunur

Approve'a dokunmadan önce yavaşlayın ve beş şeyi kontrol edin.

1. Hangi token onaylanıyor?

Uygulama arayüzü tanıdık göründüğü için bir token'ı onaylamayın. Kullanmak istediğiniz varlığın bu olduğundan emin olun.

2. Harcayıcı kim?

Sözleşme veya protokol adına bakın. Harcayıcı belirsizse, bu tek başına durmak için bir nedendir.

3. Ne kadarına izin veriyorsunuz?

Belirli bir tutar bir şeydir. Sınırsız başka bir şey. Bir takas için sadece 40 USDC'ye ihtiyacınız varsa, pratikte sonsuz bir onay ikinci kez bakmayı hak eder.

4. Onay neden gerekiyor?

İşlem bir takas, yatırma veya staking akışıysa, onay normal olabilir. Talep belirsiz bir "cüzdanı doğrula" adımından veya rastgele bir airdrop sayfasından önce çıkıyorsa, uzaklaşın.

5. Siteye ve alan adına güveniyor musunuz?

Onay kaynaklı birçok kayıp oltalama, kopya siteler veya sahte destek mesajlarıyla başlar. walllet.com'un kendi oltalama karşıtı rehberi de aynı temelleri vurgular: gerçek alan adını doğrulayın, aciliyete güvenmeyin ve anlamadığınız hiçbir şeyi imzalamayın.

Bir onayı ne zaman iptal etmelisiniz?

Bir dApp'i kullandığınız anda her onayı iptal etmeniz gerekmez. Ama şu durumlarda onayları gözden geçirip iptal etmelisiniz:

• O uygulamayı artık kullanmıyorsanız

• Artık güvenmediğiniz bir siteye bağlandıysanız

• Kullandığınız bir protokol güvenlik olayı yaşadıysa

• Cüzdanınızda tuhaf davranışlar fark ederseniz

• Yüksek değerli varlıklarınızda riski azaltmak istiyorsanız

Bir izni iptal etmek, o dApp'in cüzdanınızdaki ilgili token'lara artık erişememesi ve onları taşıyamaması demektir. Blok gezginleri, kullanıcıların eski izinleri gözden geçirip iptal etmesine yardımcı olan onay kontrol araçları sunar.

İlgili: Blok Gezgininde Bir Kripto İşlemi Nasıl Okunur

Bu iyi bir alışkanlıktır. Göz alıcı değil, ama iyi. Kurutma makinesi alev almadan önce tüy filtresini temizlemenin kripto versiyonu.

Onay, işlemle aynı şey mi?

Hem evet hem hayır.

Onay çoğu zaman kendi başına zincir üstü bir işlemdir. Gas ücreti gerektirir, zincire kaydedilir ve o token için izin durumunu değiştirir. Ama tamamlamaya çalıştığınız takas, staking veya yatırma ile aynı işlem değildir. O eylem genellikle sonra gerçekleşir. ERC-2612, desteklenen token'lar için permit tabanlı bir alternatif getirdi; burada imzalı bir mesaj, önce ayrı bir zincir üstü onay işlemi gerektirmeden onayı belirleyebilir. Ama temel fikir aynıdır: harcamaya yetki veriyorsunuz.

Yani birçok cüzdan akışında onay bir işlemdir, ama muhtemelen yapmak için geldiğiniz son eylem değildir.

walllet.com bu tür kripto sürtünmesini nasıl ele alır

Token onayları, güvenlik ile kullanılabilirliğin kesiştiği noktadadır; walllet.com'un farklı olmaya çalıştığı yer de tam burasıdır.

Kullanıcılar hâlâ neyi onayladıklarını anlayamıyorsa, deneyim kırılgan kalır. walllet'in herkesin okuyabileceği işlem tasarımının önemli olmasının nedeni budur. Güvenlik sadece anahtarları güvenle saklamak değildir. Kullanıcı karar vermeden önce amacı okunur kılmak da güvenliktir.

Onaylar, bu yaklaşım için mükemmel bir test örneğidir.

Çünkü bazen en güvenli cüzdan, tehlike hakkında en yüksek sesle bağıran değildir. Tehlikeyi, içine düşmeyeceğiniz kadar açık anlatan cüzdandır.

walllet.com'u deneyin; passkey, biyometri ve imzalamadan önce onayları daha kolay anlamanızı sağlayan daha anlaşılır işlem ekranlarıyla kendi kendine saklama istiyorsanız.

İlgili yazılar

Kripto ve Web3: Cüzdanlar, Ağlar ve Güvenlik

Almadan veya Takas Etmeden Önce Token Sözleşme Adresi Nasıl Doğrulanır

USDT ile WBTC Nasıl Alınır: Takastan Önce Neleri Kontrol Etmelisiniz

Token Bakiyesi Güvenle Nasıl Kontrol Edilir: Cüzdan Uygulaması, Blok Gezgini ve Yaygın Hatalar