Kripto dünyasındaki en maliyetli tıklama genellikle henüz hiçbir token transfer edilmeden önce gerçekleşir.

Token onayı, bir akıllı sözleşmeye sizin adınıza kripto cüzdanınızdan belirli bir tokeni harcaması için verdiğiniz izindir. Genellikle bir swap, stake veya depozito işleminden önce görünür. Bu işlemin kendisi bir swap değildir ve onay sınırsızsa bu izin ilk işlemden uzun süre sonra bile aktif kalabilir. Bu makalede kriptoda token onayının ne anlama geldiğini, cüzdanların swap öncesi neden onay istediğini, sınırsız onayın ne olduğunu ve daha net işlem yönlendirmeleriyle nasıl güvende kalacağınızı öğreneceksiniz.

Özetle

• Token onayı, bir akıllı sözleşmenin cüzdanınızdan onayladığınız sınıra kadar token harcamasına izin verir.

• Onay işlemi genellikle swap işleminden ayrıdır; yani "Onayla" seçeneğine tıklamak işlemin gerçekleştiği anlamına gelmez. 

• Sınırsız onaylar, yinelenen gas ücretlerini ve fazladan tıklamaları azalttığı için yaygındır ancak harcayan taraf kötü niyetliyse veya daha sonra saldırıya uğrarsa riski de artırır. 

• walllet.com, kullanıcıların imzalamadan önce izinleri daha iyi anlayabilmesi için daha net, anlaşılır işlem yönlendirmeleri sunmak üzere tasarlanmıştır. 

Token onayı nedir?

Token onayı, kriptonun görünmeyen tuzaklarından biridir. Büyük kırmızı bir siren çalmaz. "Cüzdanınızı riske atmak üzeresiniz" uyarısı çıkmaz. Sadece USDC'yi Onayla veya Harcama limitine izin ver gibi bir buton görünür.

Arka planda bu buton genellikle bir harcama limiti (allowance) belirler. ERC-20 token standardında, "approve" fonksiyonu harcama yapacak tarafı (genellikle bir akıllı sözleşmeyi) yetkilendirmenizi sağlar; "transferFrom" ise bu tarafın izin verdiğiniz miktara kadar token transfer etmesine izin verir. Bu yapı, diğer uygulamaların siz manuel olarak transfer yapmadan tokenlerinizle etkileşime girmesini sağlar. 

Token onayı şu anlama gelir:

Bu sözleşmenin cüzdanımdaki bu tokenden şu miktara kadar kullanmasına izin veriyorum.

Bu normal bir durumdur. Ancak birçok kullanıcının kafasının karıştığı yer de burasıdır.

Onay, Swap ve İmza Karşılaştırması

Detaylara girmeden önce, çoğu insanın bilmesi gereken farklar şunlardır:

Sadece bu tablo bile cüzdan endişelerini büyük ölçüde giderir. Birçok kullanıcı "Onayla" butonunun "Takası gerçekleştir" anlamına geldiğini düşünür. Ancak öyle değildir. Onay sadece izindir. Swap ise işlemin kendisidir.

İlgili yazı: Kripto Cüzdanları Hacklenebilir mi? Evet ama Genelde Düşündüğünüz Şekilde Değil

Token onayları neden var?

Çünkü ERC-20 tokenleri, diğer uygulamaların onlarla standart bir şekilde çalışabilmesi için tasarlanmıştır.

ERC-20 standardı, transferFrom fonksiyonunu, yetkilendirdikten sonra sözleşmelerin sizin adınıza token transfer etmesine izin veren bir çekim iş akışı olarak tanımlar. Bu sayede merkeziyetsiz borsalar, borç verme protokolleri, getiri ürünleri ve diğer dApp'ler çalışabilir. Onaylar olmasaydı, her uygulama daha karmaşık özel yöntemler kullanmak zorunda kalırdı.

Yani onaylar şüpheli veya gizli bir özellik değildir. Modern token tabanlı uygulamaların çalışma şeklinin bir parçasıdır.

Sorun onayların var olması değil.

Sorun, birçok cüzdanın ve dApp'in bunları hâlâ yetersiz açıklamasıdır.

Swap yapmadan önce neden onaya ihtiyacım var?

USDC, USDT veya WETH gibi bir ERC-20 tokenini swap ediyorsanız, swap sözleşmesinin bu tokeni cüzdanınızdan çekmek ve takası tamamlamak için izne ihtiyacı vardır. Bu yüzden süreç genellikle iki adımda gerçekleşir:

Önce tokeni onaylarsınız.
Ardından swap işlemini gerçekleştirirsiniz.

Bu durum, bazı kullanıcıların bir şeylerin ters gittiğini düşünmesine de yol açar.

Tokeni onaylarlar, bakiyelerinin henüz değişmediğini görürler ve cüzdanın hata verdiğini varsayarlar. Ancak onay sadece izindir. İkinci işlem gerçekleşmezse varlık dönüşümü de gerçekleşmez. walllet.com, cüzdan tasarımında işlem netliğinin neden bu kadar önemli olduğunu gösteren bu kafa karışıklığına destek içeriklerinde zaten dikkat çekmektedir. 

Bir kripto cüzdanında "Onayla" ne anlama gelir?

Bir cüzdan sizden bir tokeni onaylamanızı istediğinde aslında aynı anda üç soru soruyordur:

• Hangi token? Örneğin USDC, WETH veya başka bir ERC-20 varlığı.

• Harcayan kim? Genellikle kullandığınız uygulamaya bağlı bir akıllı sözleşme.

• Ne kadar? Belirli bir miktar veya bazen pratik olarak sınırsız bir miktar.

İşin riskli kısmı bu son soruda yatar.

Sınırlı bir onay özünde şunu söyler: "Bu sözleşme 50 USDC harcayabilir."
Sınırsız onay ise şunu söyler: "Bu sözleşme, ben iptal edene kadar şimdi veya daha sonra bu tokenden gerektiği kadar harcayabilir."

Her cüzdan bu farkı kolayca görmenizi sağlamaz. walllet.com tam da bu tür kullanıcı deneyimi açıklarını kapatmayı hedefliyor. Ürün ve eğitim içerikleri, işlem yönlendirmelerini kullanıcıların anlayacağı dilde sunarak sözleşme metinleri arasında kaybolmak yerine işlemi, varlığı, miktarı, izinleri, karşı tarafı ve ağı net bir şekilde gösterir. 

Sınırsız token onayı nedir?

Sonsuz onay olarak da adlandırılan sınırsız token onayı, harcayan tarafa genellikle ERC-20 uygulamalarındaki maksimum uint256 değerinde çok büyük bir harcama limiti verir. Limit maksimum uint256 olarak ayarlandığında sonsuz onay gibi çalışır. 

Uygulamalar bunu neden ister?

Genellikle kolaylık sağlamak için.

Pek çok güvenilir dApp, kullanıcıların her işlemde tekrar gas ücreti ödemesini ve yeni bir onay vermesini önlemek için sınırsız onay talep eder. Yani şimdi daha az tıklama, ancak sonrası için sürekli açık bir izin. Bu ödünleşim gerçektir ve risk de tam bu noktada başlar.

İlgili yazı: Kripto Oltalama (Phishing) Saldırılarından Kaçınma: walllet.com Sizden Asla Ne Yapmanızı İstemez?

Token onayı tehlikeli midir?

Bazen evet, her zaman da ihtimal dahilindedir.

Bir token onayı sadece var olduğu için tehlikeli değildir. Pek çok güvenli ve meşru uygulama çalışmak için onaylara ihtiyaç duyar. Ancak aşağıdaki durumlardan biri geçerliyse onay riskli hale gelir:

• Hangi sözleşmeyi onayladığınızı anlamadıysanız.

• Sahte veya kötü amaçlı bir dApp'i onaylıyorsanız.

• Gerekenden çok daha büyük bir harcama limiti veriyorsanız.

• Uygulamayı kullanmayı bıraktıktan uzun süre sonra bile eski onayları aktif bırakıyorsanız.

• Onaylanan sözleşme daha sonra saldırıya uğrarsa.

Onay dolandırıcılıklarının bu kadar can yakmasının nedeni budur. Kullanıcılar genellikle kurtarma kelimelerini (seed phrase) veya şifrelerini kaptırmazlar. Sadece yanlış şeyi onaylarlar.

Sınırsız onaylar, birçok kötü amaçlı sitenin kullanıcıları soymak için kullandığı yöntemdir. Bu nedenle onaylar konusunda son derece dikkatli olun; çünkü dolandırıcılar sizi kandırarak haklarınızı imzalatarak devretmenizi sağlayabilir ve blokzinciri onaylanan işlemi aynen yürütür. 

Önemli bir detay: Bir onay tüm cüzdanınız için değil, genellikle belirli bir token ve harcayan taraf için geçerlidir. WETH'yi onaylamanız, elinizdeki diğer tüm varlıklara otomatik olarak erişim sağlamaz. Ancak onay kapsamlıysa ve harcayan taraf kötü niyetliyse, o token için yaşayacağınız kayıp yine de can yakıcı olabilir. 

Çoğu kullanıcının görmezden geldiği izin

Onayları gözden kaçırmak kolaydır çünkü doğrudan bir para çıkışı hissettirmezler.

İşin hilesi de buradadır.

• Swap işlemi riskli hissettirir çünkü aktiftir. Varlıklar el değiştirir, sayılar oynar, bir şeyler gerçekleşir.

• Onay ise zararsız görünür çünkü her şey arka plandadır. Ancak ipleri elinde tutanlar arka plandakilerdir.

Bu noktada walllet.com önemli bir fark yaratıyor. Ürün, kurtarma kelimesi zahmetine girmeden geçiş anahtarları (passkeys) ve biyometrik verileri kullanarak gereksiz engeller olmadan gözetimsiz (self-custodial) bir deneyim sunar ve siz onaylamadan önce işlem amacını okumayı kolaylaştırır. walllet anlaşılır özetlere ve izin netliğine önem verir. Gözetimsiz yapısı sayesinde anahtarlarınız ve geçiş anahtarı bilgileriniz walllet sunucularında değil, sizin kontrolünüzde kalır.

Hiçbir cüzdan kötü niyetli bir sözleşmeyi güvenli hale getiremez. Ancak daha iyi bir cüzdan, imzalamadan önceki anı bir tahminden ibaret olmaktan çıkarabilir.

Onaylamadan önce bir onayı nasıl okumalısınız?

Onayla butonuna basmadan önce yavaşlayın ve şu beş şeyi kontrol edin.

1. Hangi token onaylanıyor?

Sırf uygulama arayüzü tanıdık geliyor diye bir tokeni onaylamayın. Kullanmak istediğiniz varlık olduğundan emin olun.

2. Harcayan kim?

Sözleşme veya protokol adına bakın. Harcayan taraf net değilse, bu tek başına duraklamak için bir sebeptir.

3. Ne kadarına izin veriyorsunuz?

Belirli bir miktar onaylamak başkadır, sınırsız onaylamak başka. Bir swap için sadece 40 USDC'ye ihtiyacınız varsa, ucu açık bir onayı iki kez düşünmelisiniz.

4. Bu onaya neden ihtiyaç var?

Yapılan işlem bir swap, depozito veya stake ise onay normal olabilir. Ancak talep belirsiz bir "cüzdanı doğrula" adımından veya rastgele bir airdrop sayfasından geliyorsa oradan uzaklaşın.

5. Siteye ve alan adına güveniyor musunuz?

Birçok onay kaybı oltalama, kopya siteler veya sahte destek mesajlarıyla başlar. walllet.com'un oltalama karşıtı kılavuzu da aynı temel kuralları vurgular: gerçek alan adını doğrulayın, aciliyet bildiren mesajlara şüpheyle yaklaşın ve anlamadığınız hiçbir şeyi asla imzalamayın. 

Bir onay ne zaman iptal edilmelidir?

Bir dApp'i kullandığınız an her onayı iptal etmeniz gerekmez. Ancak şu durumlarda onayları gözden geçirmeli ve iptal etmelisiniz:

• Artık o uygulamayı kullanmıyorsanız

• Artık güvenmediğiniz bir siteye bağlandıysanız

• Kullandığınız bir protokolde güvenlik açığı oluştuysa

• Cüzdanınızda garip hareketler fark ettiyseniz

• Yüksek değerli varlıklarınızdaki riski azaltmak istiyorsanız

Bir izni iptal etmek, o dApp'in artık cüzdanınızdaki ilgili tokenlere erişemeyeceği ve bunları taşıyamayacağı anlamına gelir. Blok gezginleri (block explorers), kullanıcıların eski izinleri incelemesi ve iptal etmesi için genellikle onay kontrol araçları sunar. 

İlgili yazı: Blok Gezgininde Kripto İşlemleri Nasıl Okunur?

Bu iyi bir alışkanlıktır. Çok havalı bir iş sayılmaz ama faydalıdır. Kurutma makinesi alev almadan önce filtresini temizlemek gibidir.

Onay işlemi bir transfer işlemi ile aynı mıdır?

Evet ve hayır.

Onay işlemi genellikle zincir üstünde gerçekleşen başlı başına bir işlemdir. Gas ücreti gerektirir, zincire kaydedilir ve o token için harcama limitini değiştirir. Ancak yapmaya çalıştığınız swap, stake veya depozito ile aynı işlem değildir. Bu asıl işlem genellikle onayın ardından gerçekleşir. ERC-2612 standardı, desteklenen tokenler için imzalı bir mesajın zincir üstünde ayrı bir onay işlemine gerek kalmadan izin belirlemesini sağlayan permit tabanlı bir alternatif getirdi; ancak temel fikir aynıdır: Harcama yetkisi veriyorsunuz. 

Yani onay, birçok cüzdan akışında bir işlemdir ancak muhtemelen yapmak istediğiniz nihai işlem değildir.

walllet.com kriptodaki bu pürüzleri çözüyor

Token onayları, güvenlik ile kullanılabilirliğin kesiştiği noktada yer alır ve walllet.com tam da burada fark yaratmayı hedefliyor.

Kullanıcılar neyi onayladıklarını hâlâ anlayamıyorlarsa deneyim eksik kalır. walllet'ın kolay okunabilir işlem tasarımı bu yüzden önemlidir. Güvenlik sadece anahtarları güvenle saklamakla ilgili değildir. Kullanıcının onay vermeden önce ne yaptığını açıkça görmesini sağlamakla da ilgilidir.

Onaylar, bu felsefe için mükemmel bir test alanıdır.

Çünkü bazen en güvenli cüzdan, tehlike karşısında en çok bağıran değil; tehlikeyi o kadar sade açıklayan cüzdandır ki ona takılıp düşmezsiniz.

walllet.com'u deneyin; geçiş anahtarları, biyometrik veriler ve imzalamadan önce onayları anlamayı kolaylaştıran net işlem yönlendirmeleriyle gözetimsiz güvenliğin keyfini çıkarın.