Chaque fois qu'un portefeuille interagit avec une application décentralisée, il peut lui être demandé d'accorder à cette application la permission de dépenser un jeton spécifique en son nom. Bon nombre de ces autorisations sont accordées par défaut pour un montant illimité, car cela est plus pratique pour l'application, et beaucoup ne sont jamais révoquées une fois l'interaction initiale terminée.
Pourquoi une autorisation ancienne reste un risque bien réel
Une autorisation ancienne et oubliée, accordée à un contrat qui est ensuite compromis ou modifié de manière malveillante, peut être utilisée pour vider un portefeuille sans aucune action supplémentaire de la part du propriétaire. C'est l'un des mécanismes les plus courants derrière les pertes liées à la finance décentralisée que nous examinons, et il est dangereux précisément parce que l'autorisation elle-même n'expire pas et ne nécessite aucune confirmation supplémentaire pour être exploitée.
Un processus court et répétable
- Ouvrez une interface de portefeuille réputée ou un explorateur de blockchain proposant une vue de gestion des autorisations.
- Examinez la liste complète des autorisations actives, pas seulement les plus récentes.
- Révoquez tout ce qui est lié à une application que vous n'utilisez plus, ne reconnaissez plus ou ne faites plus confiance.
- Portez une attention particulière à toute autorisation fixée à un montant illimité.
- Répétez cette opération toutes les quelques semaines pour un portefeuille activement utilisé, plutôt que seulement lorsque quelque chose semble anormal.
Examiner périodiquement les autorisations actives d'un portefeuille, et révoquer celles qui ne sont plus utilisées, ferme ce vecteur d'attaque avec un effort minimal. La plupart des grandes interfaces de portefeuille et des explorateurs de blockchain proposent désormais une vue dédiée à la gestion des autorisations, conçue spécifiquement à cet effet.
Il s'agit d'une habitude préventive, non d'une réponse à un incident en cours, mais c'est l'une des rares mesures véritablement efficaces à la disposition de tout détenteur de portefeuille sans outils spécialisés.