Разрешение на списание токена — самое недооценённое место во всей истории с кошельками. Вы жмёте кнопку подтве

Разрешение на списание токена — самое недооценённое место во всей истории с кошельками. Вы жмёте кнопку подтверждения, чтобы обменять монеты, и попутно даёте контракту право распоряжаться ими в дальнейшем.

Интерфейсы часто предлагают выдать разрешение сразу на неограниченную сумму: так удобнее, второй раз подтверждать не придётся. Плата за удобство — открытая дверь. Пока разрешение висит, контракт может забрать столько, сколько вы разрешили, а не столько, сколько тратили в тот раз.

Дальше сценарий известный. Проект давно заброшен, интерфейс не открывается, а разрешение живёт. Если у контракта найдут дыру, деньги уйдут из кошелька, к которому вы формально ни к кому не подключались.

Гигиена простая:

— выдавать разрешение на сумму сделки, а не на всё;
— периодически просматривать список выданных разрешений и снимать лишние;
— держать отдельный кошелёк под эксперименты и не заводить в него основные средства.

Разрешение — это не подпись под одной операцией. Это доверенность.