Как отозвать разрешения криптокошелька: revoke без опасных ошибок

Срочно: отключить сайт недостаточно

Token approval — запись в смарт-контракте токена: владелец разрешает адресу spender списывать токены в установленном объёме. Разрешение может продолжать действовать после закрытия вкладки, удаления приложения и нажатия Disconnect. Поэтому при подозрительной подписи нужно проверить allowances именно в той сети и на том адресе, где она была сделана, и отозвать ненужные права on-chain.

Используйте только функцию в официальном кошельке, портфеле или блокчейн-обозревателе. Не переходите к «revoke service» из рекламы или личного сообщения: новая страница может попросить вредоносную подпись. Проверьте домен через документацию проекта, подключите правильный публичный адрес, выберите подозрительного spender и внимательно прочитайте транзакцию до подтверждения.

Для revoke требуется небольшая комиссия в нативной монете сети: например, ETH в Ethereum, BNB в BNB Chain или MATIC/POL в соответствующей сети. Комиссия не переводится «оператору» и не должна оплачиваться на чужой адрес. Если активы уже ушли, параллельно следуйте плану первых 24 часов и сохраняйте TXID.

Connect, Sign, Approve и Revoke: что происходит

Connect обычно сообщает dApp ваш публичный адрес и позволяет предложить операции. Sign может означать вход по сообщению, согласие с ордером или более сложное разрешение — содержание важно читать целиком. Approve задаёт allowance контракту-spender. Revoke отправляет новую транзакцию, которая обнуляет или сокращает этот лимит. Названия кнопок похожи, но последствия принципиально разные.

Не каждая подпись — кража, и не каждый approval вредоносен: DEX действительно нужен лимит, чтобы выполнить обмен. Риск растёт при безлимитном значении, неизвестном spender, неожиданной сети или запросе, который не соответствует вашему действию. Просмотр списка разрешений помогает удалить забытые права, но не определяет добросовестность проекта автоматически.

Пошаговый отзыв разрешения

Сначала скопируйте свой публичный адрес из кошелька и определите сеть подозрительной операции по истории. Один и тот же видимый адрес в EVM-сетях не означает единый список approvals: Ethereum, Arbitrum, Polygon и BNB Chain хранят отдельные состояния. Откройте официальный раздел разрешений кошелька или approval checker обозревателя этой сети и сверьте адрес в строке браузера.

В таблице найдите токен, spender и лимит. Адрес spender — важнее отображаемого имени: мошеннический контракт может называться похоже на известный сервис. Сопоставьте его с транзакцией, которую вы подписывали, и официальной документацией dApp. Отзывайте неизвестные, безлимитные и больше не нужные разрешения; для легитимных сервисов разумно сокращать лимит до фактически необходимого.

1. Выбрать нужный аккаунт и сеть, не раскрывая seed-фразу или private key.
2. Открыть проверенный инструмент approvals из официальной документации кошелька или обозревателя.
3. Сверить токен, контракт spender, размер allowance и последнюю связанную транзакцию.
4. Нажать Revoke, проверить сеть, адрес контракта и комиссию в окне кошелька.
5. Дождаться подтверждения и снова открыть список: allowance должен стать нулевым или исчезнуть.
6. Повторить проверку для других использованных сетей, аккаунтов и стандартов токенов.

Как убедиться, что revoke сработал

Статус в интерфейсе кошелька может обновляться с задержкой, поэтому сохраните хеш транзакции и откройте его в официальном обозревателе сети. Успешный статус подтверждает включение операции в блок, но дополнительно обновите approval checker и проверьте текущее значение allowance. Если транзакция отклонена или зависла, право ещё не считается отменённым.

Проверьте, что отозвали разрешение у правильного spender и для правильного токена. USDT в разных сетях — разные контракты и отдельные approvals. Отзыв ERC-20 allowance не обязательно отменяет разрешения NFT-оператору, Permit-подписи или открытые позиции в протоколе; доступные категории зависят от кошелька и сети. Не подписывайте непонятную «пакетную очистку», если интерфейс не раскрывает все действия.

Если неизвестное списание произошло после успешного revoke, исследуйте время блоков и другие векторы: второе разрешение, компрометацию закрытого ключа, вредоносную подпись или заражённое устройство. Разбор TXID помогает отличить прямой перевод владельца от вызова контракта и выстроить хронологию.

Когда revoke не спасает: утечка seed-фразы

Если вы вводили seed-фразу или private key на сайте, отправляли их «поддержке» либо хранили в доступном злоумышленнику файле, считать проблему только approval-риском нельзя. Владелец ключа способен сам подписать обычный перевод и выдать новое разрешение. Создайте новый кошелёк с новой фразой на чистом устройстве и перенесите активы; подробный порядок — в материале что делать после ввода seed-фразы.

Не импортируйте старую фразу в новый интерфейс в надежде «перезапустить безопасность». Это те же ключи. Не отправляйте дополнительный gas на адрес, если наблюдаются автоматические выводы: возможен sweeper. При существенном остатке сначала получите техническую оценку через проверенный канал, не раскрывая секреты и не соглашаясь на гарантированный «возврат».

• Только подозрительный approval, seed не раскрыта: revoke и проверка остальных прав могут закрыть основной риск.
• Seed или private key раскрыты: новый кошелёк обязателен, revoke лишь вспомогательная мера.
• На устройстве было вредоносное ПО: создавайте новый кошелёк только после перехода на чистую среду.
• Есть неизвестные транзакции: сохраняйте доказательства до очистки истории и переустановки.

Если токены уже списаны

Отмена allowance не возвращает завершённый перевод. Сохраните адрес кошелька, контракт токена, TXID операции approval, TXID списания, адрес spender и конечные адреса. Зафиксируйте URL сайта, переписку и точное время. Если маршрут ведёт на централизованную биржу, отправьте обращение через её официальный abuse/compliance-канал; площадке обычно нужны проверяемые хеши, а не только скриншот.

Сообщите об инциденте правоохранительным органам по месту жительства и, если использовались банковская карта или P2P-перевод, банку. Не выдавайте публичную метку адреса за установление личности: блокчейн показывает движение, но принадлежность адреса требует дополнительных данных. Форма разбора случая поможет структурировать факты, однако ни платформа, ни юрист не могут заранее гарантировать возврат.

Как снизить риск следующих approvals

Перед подписью сопоставляйте запрос с действием: обмен на 100 USDT не должен незаметно требовать безлимитный доступ ко всем токенам. Если кошелёк поддерживает custom spending cap, задайте сумму операции с небольшим необходимым запасом. После разового использования сервиса отзывайте доступ, особенно на рабочем кошельке с заметным балансом.

Разделите хранение и эксперименты: основной кошелёк не стоит подключать к новым mint, airdrop и неизвестным dApp. Проверяйте домен, контракт и сеть по нескольким официальным точкам, не по рекламной выдаче. Периодический аудит approvals полезен, но лучшая защита — небольшой лимит, отдельный горячий кошелёк и отказ от подписи, смысл которой интерфейс не объясняет.