Разрешения на токены: остаются активными, пока их не отзовут
Разрешения на криптоактивы, выданные контракту, остаются активными, пока вы их не отзовёте. Начиная с 5 мая 2026 года злоумышленники воспользовались этим правилом. Они похитили около 1,42 миллиона долларов с 31 адреса благодаря разрешениям, выданным маршрутизатору протокола Ekubo. По словам основателя SlowMist, главная жертва выдала своё разрешение за 158 дней до этого.
1,42 миллиона долларов — столько похитили злоумышленники начиная с 5 мая 2026 года, воспользовавшись разрешениями, выданными маршрутизатору Ekubo.
158 дней — столько прошло с момента выдачи неограниченного разрешения, из-за которого главная жертва потеряла около 17 WBTC.
60 % — такую долю составляют неограниченные разрешения в Ethereum, согласно исследованию 2022 года, посвящённому транзакциям до июля 2021 года.
6 мая 2026 года — на следующий день после первой кражи основатель Ekubo предложил ERC-8255, согласно которому разрешения по умолчанию имеют срок действия.
Разрешение на криптоактивы не прекращается после транзакции
Чтобы обменять токен в децентрализованном приложении, сначала нужно подписать разрешение. Это сообщение позволяет контракту снимать ваши токены от вашего имени. Стандарт ERC-20 предусматривает, что он может делать это «несколько раз, в пределах установленной суммы». Однако ваш кошелёк не всегда показывает, что именно вы подписываете, о чём мы рассказывали в статье о clear signing.
В частности, у такого разрешения нет срока действия. В официальном руководстве ethereum.org об отзыве разрешений говорится прямо: «У разрешений для контрактов нет срока истечения». Поэтому ими могут воспользоваться даже спустя годы.
Отключение от сайта тоже ничего не меняет. Разрешение хранится в контракте токена в блокчейне, а не в браузере. Согласно тому же руководству, после отключения у проекта сохраняется доступ к вашим токенам. Ваш цифровой кошелёк хранит ключи, но не разрешения. Поэтому, чтобы закрыть этот доступ, нужно отозвать разрешение.
$APE
$TOKEN
$BLOK.ETF
#tokens
Разрешения на криптоактивы, выданные контракту, остаются активными, пока вы их не отзовёте. Начиная с 5 мая 2026 года злоумышленники воспользовались этим правилом. Они похитили около 1,42 миллиона долларов с 31 адреса благодаря разрешениям, выданным маршрутизатору протокола Ekubo. По словам основателя SlowMist, главная жертва выдала своё разрешение за 158 дней до этого.
1,42 миллиона долларов — столько похитили злоумышленники начиная с 5 мая 2026 года, воспользовавшись разрешениями, выданными маршрутизатору Ekubo.
158 дней — столько прошло с момента выдачи неограниченного разрешения, из-за которого главная жертва потеряла около 17 WBTC.
60 % — такую долю составляют неограниченные разрешения в Ethereum, согласно исследованию 2022 года, посвящённому транзакциям до июля 2021 года.
6 мая 2026 года — на следующий день после первой кражи основатель Ekubo предложил ERC-8255, согласно которому разрешения по умолчанию имеют срок действия.
Разрешение на криптоактивы не прекращается после транзакции
Чтобы обменять токен в децентрализованном приложении, сначала нужно подписать разрешение. Это сообщение позволяет контракту снимать ваши токены от вашего имени. Стандарт ERC-20 предусматривает, что он может делать это «несколько раз, в пределах установленной суммы». Однако ваш кошелёк не всегда показывает, что именно вы подписываете, о чём мы рассказывали в статье о clear signing.
В частности, у такого разрешения нет срока действия. В официальном руководстве ethereum.org об отзыве разрешений говорится прямо: «У разрешений для контрактов нет срока истечения». Поэтому ими могут воспользоваться даже спустя годы.
Отключение от сайта тоже ничего не меняет. Разрешение хранится в контракте токена в блокчейне, а не в браузере. Согласно тому же руководству, после отключения у проекта сохраняется доступ к вашим токенам. Ваш цифровой кошелёк хранит ключи, но не разрешения. Поэтому, чтобы закрыть этот доступ, нужно отозвать разрешение.
$APE
$TOKEN
$BLOK.ETF
#tokens