危険なトークン承認を見つけて取り消す方法

DEX でスワップしたり、プロトコルに預け入れたり、トークンを売りに出したりするたびに、ウォレットのトークンを動かす許可をスマートコントラクトに与えています。この許可が承認で、ほとんどのアプリは標準で無制限の承認を求めます。承認に期限はありません。何か月も経ってからそのコントラクトが攻撃されたり、もともと名乗っていたとおりのものではなかったりすれば、そのトークンを今でも持ち出せてしまいます。

承認とは

Ethereum やほかの EVM チェーンでは、トークン承認によって承認額が設定されます。あるコントラクトがウォレットからそのトークンをどれだけ動かせるか、という額です。アプリが承認を求めるのは、毎回新しく承認しなくて済むようにするためです。承認の中には、取引ではなく署名で与えるものもあります。Permit や Permit2 といった規格によるもので、気づかないうちに与えてしまいやすくなっています。

古い承認が危険な理由

• あとからコントラクトが攻撃される。一度使っただけのプロトコルが何年も後にハッキングされ、その承認ごと悪用されることがあります。
• 最初から悪意のあるものだった。ドレイナーサイトは、ありふれたものに見える承認を求めてきます。
• 無制限とは、すべてという意味。無制限の承認額は、承認した時点で持っていた分だけでなく、そのウォレットで今後保有するそのトークンのすべてが対象になります。

どれから取り消すか

1. 未検証のコントラクトへの無制限の承認。最も危険なもので、Burokku が目印を付けてお知らせします。
2. もう使っていないアプリへの承認。残しておく理由はありません。
3. 多く保有しているトークンの承認。残高が大きいほど、承認によって失いうる額も大きくなります。

Burokku で確認して取り消す方法

承認ツールでは、すべてのウォレットとチェーンにある有効な承認額を一覧で表示します。トークン、それを使える承認先のコントラクト、承認額、承認した日、リスクスコア、そしてリスクにさらされた資金（危険な承認先が今すぐ持ち出せる額）がわかります。ウォレットを接続し、取り消したい承認にチェックを入れて署名します。ウォレットがまとめて処理できる場合は、チェーンごとの取り消しが1回の署名で済みます。危険な承認のアラートも、いずれかのウォレットが未検証のコントラクトに無制限の承認を与えるとすぐにお知らせします。

ほかの確認方法

承認を取り消すのに Burokku は必須ではありません。Revoke.cash では多くのチェーンにわたってウォレットを1つずつ確認でき、ほとんどのブロックエクスプローラーにもトークン承認のチェッカーがあります。Burokku の違いは、すべてのウォレットをまとめて確認し、確認し続けることです。

繰り返さないために

• 必要な額だけを承認する。アプリで選べるときは、無制限ではなく正確な額を承認しましょう。
• 署名する内容を読む。Burokku の署名デコーダーは署名リクエストをわかりやすい言葉に置き換え、ドレイナーによくあるパターンを警告します。リンクチェックでは、サイトが本物かどうかがわかります。
• ときどき診断する。ウォレット診断では、ウォレットごとにセキュリティスコアを出し、重要な対処から順に示します。