Разрешения токенов и дрейнеры: как не потерять кошелёк

Сайт, который просит подключить кошелёк и что-то подтвердить «для AML-проверки», может забрать ваши токены. Одного разрешения (approve) или одной подписи permit достаточно, чтобы контракт мог потом переводить их без новых вопросов. Настоящая AML-проверка читает публичную историю блокчейна, поэтому ей нужен только публичный адрес — без подключения кошелька, подписей и разрешений.

Как работают разрешения токенов

ERC-20 — стандарт, на котором построено большинство токенов в Ethereum, в том числе USDT и USDC в этой сети. В нём есть функция approve. Она позволяет «тратящему» (spender) списывать токены с вашего адреса сколько угодно раз в пределах заданной суммы. Функция allowance показывает, сколько ему ещё можно забрать. Сам перевод от вашего имени делается через transferFrom.^[1]

Так работают децентрализованные биржи и другие приложения: вы один раз даёте разрешение, и приложение списывает токены при сделке. Этой же функцией пользуется дрейнер. Получив разрешение, вредоносный контракт может вызвать transferFrom в любой момент — в пределах лимита.

Лимит часто «безлимитный». На ethereum.org объясняют: многие приложения просят неограниченное разрешение, чтобы вам не приходилось каждый раз заново подтверждать и платить комиссию. Но у разрешений нет срока действия. Вредоносная платформа или платформа с бэкдором может воспользоваться ими и через годы.^[2]

Permit: разрешение подписью

Обычно approve — это транзакция, за которую вы платите. EIP-2612 добавил функцию permit: то же самое, но через подписанное сообщение. Вы подписываете его вне блокчейна. Отправить эту подпись в контракт токена может любой адрес, и контракт выставит разрешение так, будто вы сами вызвали approve.^[3]

Для безопасности важны две детали:

• Газ вы не платите. Смысл стандарта в том, что владельцу не нужен ETH для разрешения. Поэтому запрос permit может вообще не выглядеть как платёж.^[3]
• Срок может быть почти бесконечным. У permit есть дедлайн. Если выставить максимальное значение, подпись фактически не истекает.^[3]

Permit2 от Uniswap распространяет эту идею на любые токены ERC-20. Вы один раз даёте контракту Permit2 обычное разрешение на токен — документация часто предлагает максимальную сумму. Дальше права выдаются подписями. Модуль AllowanceTransfer хранит постоянное разрешение со сроком действия, модуль SignatureTransfer разрешает один перевод на одну подпись.^[4]

Проще говоря: окно кошелька, где просят «подписать», а не «отправить», тоже может передать право тратить ваши токены.

Что такое дрейнер

ФБР описало эту схему в предупреждении от августа 2023 года. Мошенники взламывали или копировали аккаунты NFT-проектов в соцсетях и публиковали ссылки на фальшивые минты. Жертвы подключали кошельки к поддельным сайтам и тем самым связывали их с «дрейнер-контрактом», который переводил криптовалюту и NFT на кошельки преступников.^[5]

Приманки меняются, механизм остаётся. Фейковая AML-проверка — удобная приманка: человек, который боится «грязных» средств, хочет ответа быстро, и просьба «подключите кошелёк для проверки средств» звучит логично. Это не так. Признаки подделок собраны в нашем материале о поддельных AML-проверках.

Почему настоящей проверке нужен только адрес

AML/KYT-сервис смотрит, откуда пришли средства и куда ушли. Эти данные публичны. Сервису нужен ваш адрес — и всё. У него нет причин:

• просить подключить кошелёк;
• просить подписать сообщение или permit;
• просить approve или любую другую транзакцию;
• спрашивать сид-фразу.

Про последнее ethereum.org пишет прямо: никогда и ни по какой причине не сообщайте фразу восстановления и приватные ключи.^[6] Как проверить USDT до получения — в отдельном руководстве; о похожей схеме с поддельными адресами — в статье про отравление адресов.

Как посмотреть и отозвать разрешения

Token Approval Checker на Etherscan показывает контракты, которым разрешено тратить ваши токены: разрешения ERC-20, ERC-721 и ERC-1155, плюс общую сумму «под риском». Вы подключаете кошелёк, отмечаете разрешения и отзываете их; Etherscan пишет, что отзыв не даёт этим контрактам и адресам тратить ваши активы.^[7]

Здесь подключение кошелька нормально: вы меняете собственные разрешения. Опасность — поддельная страница отзыва. Вводите адрес сайта вручную или открывайте из закладок.

Порядок действий по руководству ethereum.org:^[2]

1. Откройте инструмент для отзыва и подключите кошелёк.
2. Убедитесь, что кошелёк и инструмент в одной сети: видны только разрешения этой сети.
3. Выберите, что отозвать. Если сомневаетесь, можно отозвать всё и потом дать разрешения заново.
4. Подтвердите транзакцию отзыва. За неё берётся комиссия сети.

В качестве инструментов ethereum.org называет Etherscan, Blockscout, Revoke.cash, Unrekt и EverRevoke.^[2] Отзыв не вернёт уже украденные токены: транзакции в Ethereum необратимы.^[6]

Что делать

1. Не подключайте кошелёк к AML-сервису. Вставляйте адрес.
2. Читайте каждое окно кошелька. «Approve», «Permit» и «Sign» могут давать право тратить токены.
3. Не давайте безлимитных разрешений. Разрешайте ровно столько, сколько нужно для одной операции, как советует ethereum.org.^[6]
4. Регулярно проверяйте разрешения и отзывайте ненужные — в каждой сети, которой пользуетесь.
5. Если подписали что-то подозрительное, сразу отзовите разрешения и переведите оставшиеся средства на новый кошелёк.
6. Сообщите о сайте в IC3 ФБР на ic3.gov, как просит само предупреждение, или в полицию по месту жительства.^[5]

Это общая информация, а не юридическая или техническая консультация по вашему случаю. Сервисы, которым достаточно одного адреса, сравниваем в обзорах.