CRYPTO-SECURITY · UA · БЕЗКОШТОВНО

4. Підключити, підписати й дозволити — різні дії

Читай запит гаманця

Підключення зазвичай повідомляє застосунку обрану публічну адресу та дозволяє запитувати подальші дії. Підпис, дозвіл витрачання токенів і надсилання транзакції мають інші наслідки. У різних мережах і типах акаунтів механізми відрізняються. Не вважай будь-який підпис без комісії звичайним безпечним входом: деякі підписані дозволи можуть бути використані пізніше.

До підтвердження з’ясуй, хто запитує дію, який контракт отримує повноваження, для якого токена, на яку суму та строк. Зістав запит зі своєю метою. Якщо інтерфейс не пояснює зміст даних або ти його не розумієш, відхили запит і знайди офіційний опис. Великий або необмежений ліміт збільшує можливу шкоду. Знайоме ім’я проєкту не скасовує перевірку конкретного запиту.

Відключення не дорівнює відкликанню

Закрити вкладку чи відключити dapp від гаманця — не те саме, що скасувати раніше виданий дозвіл на токени. Перевірка та відкликання дозволів виконуються окремо за офіційною інструкцією для обраної мережі. Відкликання може потребувати мережевої комісії; воно не повертає вже вкрадене та не змінює розкритий приватний ключ. Однієї дії для всіх випадків немає.

Завдання та розбір

Умовний застосунок пропонує отримати безкоштовну картинку, але просить необмежений доступ до навчального стейблкоїна. Потім заспокоює: «якщо передумаєш, просто закрий вкладку». Запиши рішення.

Відповідь: відхилити неспівмірний запит і перевірити призначення дозволу. Закриття вкладки не знімає видані повноваження. Нульова комісія за підпис і відсутність списання одразу не доводять відсутності ризику. Ми аналізуємо опис; підключати гаманець, підписувати чи відкликати щось для завдання не можна й не потрібно.