Sempre que uma carteira interage com uma aplicação descentralizada, pode ser-lhe pedido que conceda a essa aplicação permissão para gastar um token específico em nome da carteira. Muitas destas aprovações são concedidas, por defeito, para um montante ilimitado, já que é mais conveniente para a aplicação, e muitas nunca são revogadas depois de a interação original terminar.
Por que uma aprovação antiga continua a ser um risco real
Uma aprovação antiga e esquecida, dada a um contrato que é mais tarde comprometido ou atualizado de forma maliciosa, pode ser usada para drenar uma carteira sem qualquer ação adicional por parte do proprietário. Este é um dos mecanismos mais comuns por trás das perdas ligadas a finanças descentralizadas que investigamos, e é perigoso precisamente porque a aprovação em si não expira e não exige qualquer confirmação adicional para ser exercida.
Um processo curto e repetível
- Abra uma interface de carteira de confiança ou um explorador de blockchain que inclua uma vista de gestão de aprovações.
- Reveja a lista completa de aprovações ativas, não apenas as mais recentes.
- Revogue tudo o que esteja associado a uma aplicação que já não usa, reconhece, ou em que já não confia.
- Preste particular atenção a qualquer aprovação definida para um montante ilimitado.
- Repita isto a cada poucas semanas numa carteira usada ativamente, em vez de apenas quando algo parece errado.
Rever periodicamente as aprovações ativas de uma carteira, e revogar as que já não estão em uso ativo, fecha este vetor de ataque com um esforço mínimo. A maioria das principais interfaces de carteira e exploradores de blockchain inclui hoje uma vista de gestão de aprovações criada especificamente para este fim.
Este é um hábito preventivo, não uma resposta a um incidente em curso, mas continua a ser uma das poucas medidas genuinamente eficazes ao alcance de qualquer detentor de carteira sem ferramentas especializadas.