Чтобы отозвать разрешение токена, отправляют транзакцию, которая обнуляет лимит получателя (spender). Сервисы вроде revoke.cash или Token Approval Checker в Etherscan, BscScan и похожих обозревателях показывают все разрешения, выданные вашим адресом, и сами собирают такую транзакцию. Она стоит обычный газ в нужной сети, делается отдельно в каждой сети и останавливает только будущие списания — уже забранные токены не вернутся.
Почему старые разрешения опасны
Пользуясь DEX, мостом или NFT-маркетплейсом, вы обычно разрешаете его контракту двигать токен от вашего имени. Многие приложения просят безлимит, чтобы не спрашивать повторно. Такое разрешение действует бессрочно. Если контракт потом взломают или разрешение было дано фишинговому сайту, получатель сможет в любой момент забрать весь баланс этого токена, ничего у вас не спрашивая.
Разрешения не истекают, не видны в балансе и легко забываются. На кошельке, которым два года пользовались в DeFi, их легко набирается десятки в нескольких сетях.
Где проверить разрешения по сетям
| Сеть | Где смотреть | Особенности |
|---|---|---|
| Ethereum | etherscan.io/tokenapprovalchecker, revoke.cash | Отзыв ≈ 45 000 газа |
| BNB Smart Chain | bscscan.com/tokenapprovalchecker, revoke.cash | Дешёвый газ, те же шаги |
| Polygon, Arbitrum, Base, Optimism | polygonscan, arbiscan, basescan, optimistic.etherscan; revoke.cash | Разрешения в каждой сети свои — проверяйте все |
| TRON | Tronscan → аккаунт → Approvals | Отзыв тратит энергию или сжигает TRX |
| Solana | Токен-аккаунты в кошельке, инструменты delegate | В SPL у токен-аккаунта один delegate, а не лимит на каждого получателя |
Пошагово в EVM-сети
- Откройте сервис проверки, набрав адрес самостоятельно или из закладки. Фальшивые «сайты отзыва» существуют и любимы дрейнерами.
- Вставьте свой адрес и посмотрите список без подключения. Сортируйте по сумме под риском: безлимит на USDT важнее, чем разрешение на мёртвый токен.
- Подключите кошелёк только на проверенном сервисе, выберите разрешение и нажмите Revoke. Кошелёк покажет вызов
approve(spender, 0), для NFT —setApprovalForAll(operator, false). - Убедитесь в кошельке, что это approve на 0 к контракту токена. Данные можно вставить в декодер input data для проверки.
- Повторите во всех сетях, где пользовались DeFi. Оставьте немного нативной монеты (ETH, BNB, POL) на газ — стоимость оценит калькулятор газа.
Какие разрешения отзывать первыми
- Безлимитные разрешения на стейблкоины и крупные балансы: USDT, USDC, DAI, WETH, WBTC.
- Разрешения незнакомым контрактам или обычным адресам: если spender — человек, а не контракт, это серьёзный тревожный знак.
- Разрешения приложениям, которые взломали или закрыли; сервисы проверки часто помечают известные взломанные контракты.
- setApprovalForAll на коллекции NFT, которые ещё у вас, выданные маркетплейсам, которыми вы больше не пользуетесь.
- Всё на адресе, который когда-то подключался к сайту, вызывающему теперь подозрения.
TRON и Solana
В TRON токены TRC-20, включая USDT, используют ту же модель approve, что и Ethereum. Tronscan показывает разрешения на странице аккаунта; отзыв — вызов контракта, он тратит энергию, а без застейканной энергии сжигает немного TRX. В Solana безлимитных разрешений нет: у SPL токен-аккаунта может быть один delegate с суммой. Вредоносные транзакции в Solana чаще сразу переводят токены или меняют владельца аккаунта, поэтому защита там — читать, что подписываете, а не отзывать потом.
Чего отзыв не исправит
- Токены, которые получатель уже забрал: отзыв блокирует только следующее списание.
- Утёкшую сид-фразу или приватный ключ. Владельцу ключа разрешения не нужны — переходите на новый кошелёк.
- Разрешения другого адреса. У каждого адреса свой список, даже в одном приложении-кошельке.
- То, чего ещё нет в блокчейне: пока разрешение не записано в сеть, отзывать нечего.
Привычка, которая держит список коротким
- Давайте разрешение на точную сумму, когда приложение это позволяет, особенно для стейблкоинов.
- Для экспериментов — отдельный адрес; адрес со сбережениями ничего не разрешает.
- Проверяйте разрешения раз в месяц и после любого «странного» сайта, к которому подключались.
- Прочитайте гайд о дрейнерах и подписях permit: самые опасные разрешения появляются из подписей, в которых люди не узнали разрешение.
Обмен в KOT.CASH разрешений не создаёт: вы отправляете токены обычным переводом на адрес депозита заказа, так что отзывать потом нечего.
Частые вопросы
Сколько стоит отозвать разрешение?
Одна обычная транзакция на каждое разрешение: около 45 000 газа в Ethereum, центы в BNB Chain, Polygon и сетях второго уровня, энергия или немного TRX в TRON.
Можно отозвать без подключения кошелька?
Посмотреть — можно. Отзыв — транзакция, поэтому кошелёк должен её подписать.
Отзыв вернёт украденные токены?
Нет. Он лишь не даёт этому получателю тратить дальше.
Нужно ли отзывать разрешения приложений, которыми я пользуюсь?
Не обязательно. Уменьшите безлимитные разрешения до нужных сумм, а отзывайте неиспользуемые и подозрительные.
Бывают фальшивые сайты для отзыва?
Да. Набирайте адрес сервиса сами; «сервис отзыва» из рекламы или личных сообщений может оказаться дрейнером.