Comment révoquer les approbations de jetons sur MetaMask ? (Audit de sécurité)

Comprendre les risques d'approbation des jetons

1. Chaque fois qu'une application décentralisée demande l'autorisation de dépenser les jetons ERC-20 d'un utilisateur, MetaMask affiche une transaction d'approbation qui doit être signée.

2. Une fois approuvé, le contrat intelligent obtient un accès indéfini au solde de jetons spécifié, à moins qu'il ne soit révoqué manuellement.

3. Les dApp compromises ou malveillantes peuvent drainer les jetons approuvés sans autre interaction de l'utilisateur.

4. Des incidents historiques montrent que des attaquants exploitent les approbations restantes de protocoles abandonnés pour lancer des transferts non autorisés.

5. Les jetons de grande valeur comme USDC, DAI et WETH sont particulièrement vulnérables lorsque les approbations restent actives sur plusieurs plateformes defi.

Révocation manuelle via Etherscan

1. Accédez à Etherscan et collez l'adresse du portefeuille de l'utilisateur dans la barre de recherche.

2. Cliquez sur l'onglet Approbations de jetons situé sous la section « Jetons ».

3. Filtrez les résultats par statut (par exemple, « Actif ») et triez par symbole de jeton ou adresse de dépensier pour plus de clarté.

4. Identifiez l'adresse du contrat cible et cliquez sur son bouton « Révoquer » associé dans la colonne des actions.

5. Confirmez la transaction de révocation à l'aide de MetaMask : des frais de gaz s'appliquent et la transaction apparaît comme un transfert Ethereum standard avec une valeur nulle.

Utilisation de Revoke.cash pour la gestion par lots

1. Visitez revoke.cash et connectez le portefeuille MetaMask via l'interface.

2. L'outil analyse automatiquement tous les contrats de jetons connus sur Ethereum et d'autres chaînes EVM pour détecter les allocations actives.

3. Les utilisateurs peuvent sélectionner des approbations individuelles ou utiliser la bascule « Révoquer tout » pour effacer toutes les autorisations actives à la fois.

4. Chaque révocation sélectionnée déclenche une transaction distincte ; les utilisateurs peuvent ajuster les paramètres de gaz avant de confirmer.

5. Un modal de confirmation affiche l'adresse exacte du contrat, le nom du jeton et le montant de l'allocation avant la soumission.

Prévenir les futures approbations excessives

1. Vérifiez toujours le domaine et l'adresse du contrat de toute dApp avant de signer une demande d'approbation.

2. Utilisez des extensions de portefeuille qui affichent l’historique des modèles d’approbation et signalent les dépenses suspectes.

3. Fixez des limites explicites au lieu d’approuver l’équilibre maximum possible lors de l’interaction avec de nouveaux protocoles.

4. Évitez de connecter MetaMask à des sites Web inconnus proposant des largages de jetons ou des incitations à l'agriculture de rendement.

5. Auditez régulièrement les approbations tous les 14 jours, en particulier après avoir utilisé des agrégateurs, des rampes de lancement ou des places de marché NFT.

Foire aux questions

Q : Puis-je révoquer les approbations lorsque je suis hors ligne ? R : Non. La révocation nécessite l'envoi d'une transaction Ethereum signée, ce qui nécessite une connexion Internet active et un accès au portefeuille.

Q : La révocation affecte-t-elle les jetons mis en jeu ou les positions LP ? R : La révocation supprime uniquement les autorisations de dépenses. Il ne retire pas les actifs mis en jeu ni ne rompt les contrats de pool de liquidité à moins que ces actions ne dépendent de l'allocation révoquée.

Q : Les approbations sont-elles spécifiques à la chaîne ? R : Oui. Une approbation sur Ethereum Mainnet ne s'étend pas à Arbitrum, Polygon ou Base. Chaque chaîne tient des registres d'allocations indépendants.

Q : Que se passe-t-il si je révoque une approbation utilisée par une stratégie de rendement active ? R : La stratégie peut interrompre les opérations ou ne pas parvenir à regrouper automatiquement les récompenses. Consultez la documentation du protocole avant de la révoquer pour éviter toute interruption involontaire.