Aprovações de tokens: continuam ativas até serem revogadas
As permissões de cripto concedidas a um contrato permanecem ativas enquanto não as revogar. A partir de 5 de maio de 2026, atacantes exploraram esta regra. Roubaram aproximadamente 1,42 milhões de dólares de 31 endereços, graças às permissões concedidas a um roteador do protocolo Ekubo. A principal vítima tinha concedido a sua 158 dias antes, segundo o fundador da SlowMist.
1,42 milhões de dólares: foi o que os atacantes roubaram a partir de 5 de maio de 2026, aproveitando as aprovações concedidas a um roteador da Ekubo.
158 dias: era a idade da aprovação ilimitada que custou cerca de 17 WBTC à principal vítima.
60 %: é a proporção de aprovações ilimitadas na Ethereum, segundo um estudo de 2022 sobre transações até julho de 2021.
6 de maio de 2026: um dia depois do primeiro roubo, o fundador da Ekubo propôs o ERC-8255, com aprovações que expiram por predefinição.
Uma permissão de cripto não termina com a transação
Para trocar um token numa aplicação descentralizada, primeiro assina uma permissão. Esta mensagem permite assim que um contrato retire os teus tokens em teu nome. O padrão ERC-20 prevê que o contrato possa fazê-lo «várias vezes, até ao montante» estabelecido. No entanto, a tua carteira nem sempre mostra aquilo que assinas, como explicámos no nosso artigo sobre clear signing.
Em particular, esta permissão não tem data de fim. O guia oficial da ethereum.org sobre revogação diz sem rodeios: «As permissões de contrato não têm data de expiração.» Por isso, podem ser usadas anos mais tarde.
Desligar-se do site também não muda nada. A permissão está no contrato do token, na blockchain, e não no teu navegador. Segundo o mesmo guia, o projeto mantém o acesso aos teus tokens depois de te desligares. A tua carteira digital guarda as tuas chaves, não as tuas permissões. Por isso, tens de revogar a permissão para cortar esse acesso.
$APE
$TOKEN
$BLOK.ETF
#tokens
As permissões de cripto concedidas a um contrato permanecem ativas enquanto não as revogar. A partir de 5 de maio de 2026, atacantes exploraram esta regra. Roubaram aproximadamente 1,42 milhões de dólares de 31 endereços, graças às permissões concedidas a um roteador do protocolo Ekubo. A principal vítima tinha concedido a sua 158 dias antes, segundo o fundador da SlowMist.
1,42 milhões de dólares: foi o que os atacantes roubaram a partir de 5 de maio de 2026, aproveitando as aprovações concedidas a um roteador da Ekubo.
158 dias: era a idade da aprovação ilimitada que custou cerca de 17 WBTC à principal vítima.
60 %: é a proporção de aprovações ilimitadas na Ethereum, segundo um estudo de 2022 sobre transações até julho de 2021.
6 de maio de 2026: um dia depois do primeiro roubo, o fundador da Ekubo propôs o ERC-8255, com aprovações que expiram por predefinição.
Uma permissão de cripto não termina com a transação
Para trocar um token numa aplicação descentralizada, primeiro assina uma permissão. Esta mensagem permite assim que um contrato retire os teus tokens em teu nome. O padrão ERC-20 prevê que o contrato possa fazê-lo «várias vezes, até ao montante» estabelecido. No entanto, a tua carteira nem sempre mostra aquilo que assinas, como explicámos no nosso artigo sobre clear signing.
Em particular, esta permissão não tem data de fim. O guia oficial da ethereum.org sobre revogação diz sem rodeios: «As permissões de contrato não têm data de expiração.» Por isso, podem ser usadas anos mais tarde.
Desligar-se do site também não muda nada. A permissão está no contrato do token, na blockchain, e não no teu navegador. Segundo o mesmo guia, o projeto mantém o acesso aos teus tokens depois de te desligares. A tua carteira digital guarda as tuas chaves, não as tuas permissões. Por isso, tens de revogar a permissão para cortar esse acesso.
$APE
$TOKEN
$BLOK.ETF
#tokens