Explicación de las aprobaciones de tokens: asignaciones, acceso ilimitado y revocación
Publicado · Equipo editorial de GetBestWallet
Comprenda qué permiten las aprobaciones de tokens y por qué desconectar una DApp no elimina su asignación.
Lo esencial
Una autorización puede permitir que un spender mueva tokens sin una nueva aprobación para cada transferencia. Comprueba la red, el token, el spender y el importe; desconectar la DApp no elimina esa autorización.
Qué autoriza una asignación de gasto
Muchos tokens ERC-20 permiten que un propietario apruebe un contrato de gasto para transferir tokens a través de transferFrom, hasta una asignación. Esto es diferente a enviar tokens directamente a un destinatario. Un intercambio descentralizado puede necesitar ese permiso para ejecutar un intercambio. Las identidades importantes son la red, el contrato del token, el propietario y el gastador, no solo el nombre mostrado de la aplicación.
Aprobaciones limitadas e ilimitadas
Una aprobación limitada puede limitar la exposición al monto autorizado, mientras que una aprobación ilimitada puede seguir siendo utilizable para un saldo futuro mucho mayor. El comportamiento exacto depende de los contratos del token y del gastador. Algunas aplicaciones solicitan permisos amplios para evitar transacciones de aprobación repetidas. La conveniencia debe sopesarse con el riesgo de que un gastador se vea comprometido o de una autorización equivocada.
Consulta la solicitud de aprobación
Confirme el gastador con la documentación oficial de la solicitud, inspeccione el monto solicitado y considere si se admite una asignación menor. La verificación del origen de un contrato en un explorador no prueba que su comportamiento o sus controles de actualización sean seguros. Algunas billeteras ofrecen advertencias o simulaciones legibles; Utilícelos como evidencia adicional en lugar de un reemplazo para comprender la acción.
Revocar a través de una ruta confiable
Utilice una función de billetera oficial o una herramienta de administración de asignaciones cuidadosamente verificada en la red correcta. Inspeccione el propietario real, el token y el gastador antes de enviar un cambio, normalmente estableciendo la asignación en cero. La revocación normalmente cuesta tarifas de red y solo entra en vigor después de la confirmación. Desconectar un sitio web o eliminar los permisos de su navegador no cambia en sí la asignación en cadena.
Sepa lo que la revocación no puede resolver
Un drenaje confirmado no se revierte revocando posteriormente. Una clave privada expuesta permanece comprometida incluso si se eliminan todos los permisos visibles. Los permisos firmados, los pedidos del mercado, los permisos de operadores de NFT y los módulos de cuentas inteligentes pueden requerir respuestas diferentes a las de una aprobación ERC-20 ordinaria. Si un atacante está activo, evite recargar gasolina a ciegas en una billetera que pueda ser monitoreada por barredores automáticos.
Lectura adicional
eips.ethereum.org — EIPS / eip 20
Pasos prácticos
- Identifica red, cuenta titular, contrato del token y spender. Contrasta el spender con la documentación oficial de la aplicación.
- Revisa el límite solicitado y usa uno menor adecuado si se admite. Rechaza solicitudes cuyo propósito no puedas explicar.
- Revoca con una herramienta verificada en la red correcta y confirma la transacción. Una clave filtrada exige una respuesta distinta: cambiar límites no protege esa clave.