Terenval Answers · P1 safety · English

Как token approval scams опустошают криптокошельки?

Token-approval scam не обязательно крадёт seed-фразу. Пользователя можно заставить самостоятельно дать spender contract разрешение на будущий вывод токенов.

Проверено: 2026-10-05.

Главное

• Approval — permission, а не просто login.
• Unlimited allowance действует, пока его не изменить или revoke.
• Обычно permission относится к конкретному token/spender.
• Disconnect dApp не удаляет allowance.
• Compromised spender превращает старый approval в future risk.

1. ERC-20 allowance

ERC-20 определяет approve, allowance и transferFrom. Это нужно легитимным DEX/DeFi contracts, которые перемещают token после согласия owner.

Тот же механизм опасен, если пользователь не понимает, какому spender и какой объём permission он выдаёт.

2. Как происходит drain

Phishing site или malicious dApp может показать approval как часть claim, swap или verification flow. Если пользователь подписывает очень большой amount, spender получает долговременное on-chain permission.

После этого attacker может инициировать transfers в пределах allowance. Новый password prompt при каждом таком движении не обязателен, потому что token contract исполняет уже выданное разрешение.

3. Что проверять перед approval

• Точную blockchain network.
• Token contract.
• Spender contract.
• Allowance amount.
• Действительно ли операция требует approval.
• Совпадают ли domain и contracts с official docs dApp.

По возможности ограничивайте allowance необходимой суммой. Если простой claim просит unlimited spending power, это сильный warning sign.

4. Что делать после suspicious approval

Используйте trusted block-explorer approval checker или независимо проверенный revoke tool в правильной сети. Отзовите или уменьшите allowance отдельной on-chain transaction и подтвердите результат.

Если unauthorized transfers уже начались или могла утечь seed/private key, одного revoke может быть недостаточно — понадобится migration на fresh recovery material.

Частые ошибки

• Считать Approve обычной кнопкой подключения.
• Подписывать unlimited allowance для одноразовой операции.
• Делать WalletConnect disconnect и считать allowance удалённым.
• Переходить по случайной “revoke now” ссылке из scare message.
• Годами оставлять unlimited approvals на крупном account.