Кошелек не взломали, но криптовалюта из него пропала. Как это возможно?

Кошелек не взломали, но криптовалюта из него пропала. Как это возможно? Разрешения на токены, которые используются в DeFi-протоколах, могут обернуться кражей средств, если они неограниченные и бессрочные. Рассказываем, как это работает и как защититься от рисков

Каждый, кто хоть раз менял токены на децентрализованной бирже (DEX) или вносил деньги в децентрализованное финансовое приложение (DeFi), сталкивался с двумя подтверждениями транзакции подряд. Первое — разрешение на использование токена, второе — сама операция. Многие не придают этому значения, но именно с такими разрешениями связана одна из самых массовых схем кражи криптовалюты — фишинг подписей (signature phishing) или фейковые подтверждения транзакций.

Разрешение на токен (token approval) — это право, которое пользователь дает смарт-контракту, на распоряжение определенными токенами в кошельке. Без него приложение или биржа ничего не сможет сделать с активами, даже если кошелек подключен к интерфейсу.

Важно понимать разницу: подключение кошелька к сайту — это не разрешение. Это просто функция показа адреса, которая дает приложению увидеть баланс. А чтобы списать токены, нужна отдельная транзакция в блокчейне — за нее пользователь платит комиссию в сети как и за остальные операции в блокчейне.

rbc.group

Телеграм-канал «РБК-Крипто» — подпишитесь и будьте в курсе самых главных и актуальных новостей о криптовалюте.

Присоединяйтесь к форуму «РБК-Крипто» в Telegram для обсуждения новостей и тенденций криптомира.

Технически это выглядит так: пользователь подписывает разрешение, где указывает, какому приложению и какую сумму токенов разрешено использовать. После этого контракт может списывать средства с кошелька в пределах одобренного лимита, не спрашивая каких-либо дополнительных одобрений.

Ограниченные и безлимитные разрешения

Разрешения бывают двух видов. Первый — ограниченное, где пользователь одобряет конкретную сумму, например 500 USDT на одну сделку. Как только лимит исчерпан, для следующей операции нужны новое разрешение и уплата новых комиссий.

Второй — неограниченное, где пользователь дает смарт-контракту право списать весь баланс по этому токену бессрочно. Большинство приложений запрашивают именно такое разрешение по умолчанию просто потому, что так удобнее и не нужно подписывать каждую транзакцию заново.

Прозрачность вне бирж. Как проверяют транзакции в личных криптокошельках Крипто

И вот здесь кроется главная проблема. Неограниченное разрешение не имеет срока или предела действия. Если контракт взломают в будущем или пользователь подпишет разрешение на фишинговом сайте, злоумышленник сможет вывести все токены без дополнительного одобрения. А пользователь часто даже не знает о существовании такого разрешения, пока не пропадут средства.

Как это используют мошенники

Для кражи подписей злоумышленники могут использовать сразу несколько вариантов атаки на кошельки. Такие вредносные смарт-контракты и программы принято называть дрейнер (drainer, от англ. drain — «опустошать»).

Чаще всего создается поддельный сайт известного протокола, фальшивая ссылка на бесплатную раздачу токенов или якобы привлекательный новый проект. Выглядит все правдоподобно — знакомый дизайн, похожий интернет-адрес или обещания быстрой прибыли.

Затем сайт просит подписать транзакцию или сообщение якобы для подключения, обмена или получения награды. Но на деле такая подпись дает мошенникам доступ к токенам, после чего буквально за секунды опустошается адрес жертвы.

Банк России включил криптовалюты в список рисков для финансового рынка Крипто

Стоит отметить, что с точки зрения блокчейна все выглядит справедливо: пользователь сам подписал разрешение, контракт выполнил то, на что был уполномочен. И отменить такую транзакцию на уровне протокола уже невозможно.

Как защититься

Главное правило для защиты от такого типа атак — проверять сайты и приложения. Мошенники копируют интерфейсы популярных протоколов или создают на первый взгляд качественные сервисы. Поэтому надежнее заходить через закладки страниц в браузере, а не по ссылкам из поиска, соцсетей или личных сообщений. А новые сайты стоит внимательно изучить, осознавая все риски, перед первым подключением.

Второе — внимательно читать условия подписи. Если запрос на подпись содержит информацию о токенах и суммах, это не вход в систему, а запрос на разрешение транзакций.

Третье — не давать разрешений больше, чем нужно. Если приложение позволяет указать лимит, пользователю следует указывать сумму под конкретную операцию, а не весь баланс. Это неудобнее, но потери в случае взлома будут ограничены.

Как не потерять криптовалюту в 2026 году. Безопасность кошельков и обмена Крипто

И четвертое — периодически проверять активные разрешения. Если пользователь часто использует DeFi-приложения, то за несколько месяцев могут накопиться десятки разрешений. И их рекомендуется периодически отзывать.

Помимо личных мер по обеспечению безопасности, проблемой занимаются и разработчики протоколов. Например, в Ethereum запустили новый открытый стандарт Clear Signing, который должен сделать подтверждение транзакций в Ethereum более понятным и безопасным для пользователей.

Решение позволяет показывать понятное описание операции вместо набора технических данных. Например, пользователь увидит «обмен 1000 USDC на 0,42 ETH через Uniswap» вместо длинной строки кода.

Как отозвать разрешение на токены

Отозвать разрешение можно через блокчейн-эксплорер или специальные сервисы по типу Revoke или De.fi, а также внутри популярных кошельков вроде Rabby. Также нужно иметь в виду, что отзыв подписи — это отдельная транзакция с комиссией в сети операции. Отзыв не вернет уже украденные токены, но закроет доступ к вашему кошельку на будущее.

Отдельно стоит помнить: разрешения на траты работают только с токенами стандарта ERC-20 или NFT-токенов, но не дают доступа к нативной криптовалюте блокчейна вроде ETH в Ethereum или POL в Polygon. А вот ее обернутые-версии (WETH, WPOL) — это уже токены, и их могут списать через такое разрешение.

Половина крупных криптовалют обошла по росту биткоин. Приметы альтсезона

Ключевой индикатор указал на дно курса биткоина. Почему это важно

Три криптовалюты из топ-50 за сутки выросли на 30%. Какие и почему

Авторы Теги Олег Гордышев

Источник: www.rbc.ru