Comment révoquer les autorisations des contrats intelligents ? (Sécurité d'approbation des jetons)

Comprendre les mécanismes d'approbation des jetons

1. Chaque fois qu'une application décentralisée demande l'accès à vos jetons ERC-20, elle déclenche une transaction d'approbation sur Ethereum ou des chaînes compatibles.

2. Cette approbation accorde au contrat une allocation infinie par défaut, sauf limitation explicite, ce qui signifie qu'il peut retirer n'importe quel montant jusqu'à votre solde de jetons à tout moment.

3. Les approbations sont stockées en chaîne en tant que variables d'état dans le contrat de jeton lui-même, et non dans l'interface dApp ou portefeuille.

4. Une fois confirmées, les approbations ne peuvent pas être annulées par la dApp ou le frontend ; seule une nouvelle transaction en chaîne peut les modifier ou les annuler.

5. Les portefeuilles comme MetaMask affichent les approbations en attente mais n'avertissent pas automatiquement les utilisateurs des autorisations dangereusement élevées ou des autorisations dormantes.

Révocation manuelle via les explorateurs Blockchain

1. Accédez à Etherscan (pour Ethereum), BscScan (pour BSC) ou à l'explorateur approprié pour votre chaîne.

2. Collez l'adresse de votre portefeuille dans la barre de recherche et accédez à l'onglet « Approbations de jetons » ou « Interactions contractuelles ».

3. Localisez le contrat de jeton spécifique et identifiez l'adresse du dépensier associée à la dApp que vous souhaitez révoquer.

4. Cliquez sur le bouton « Révoquer » à côté de cette entrée : cela lance une transaction appelant approuve(spender, 0) .

5. Confirmez la transaction dans votre portefeuille ; des frais d'essence s'appliquent et le changement est pris en compte immédiatement après la confirmation du bloc.

Utilisation d'outils de gestion des autorisations dédiés

1. Revoke.cash permet une analyse groupée de toutes les approbations de jetons sur plusieurs chaînes en utilisant uniquement l'adresse de votre portefeuille.

2. Token Sniffer intègre une analyse d'approbation en temps réel ainsi qu'une notation de sécurité du contrat avant que vous n'interagiez.

3. Blocknative Notify fournit des alertes lorsqu'un contrat précédemment approuvé exécute des transferts inattendus.

4. Zapper.fi comprend un tableau de bord « Autorisations » où les utilisateurs peuvent afficher, filtrer et révoquer les autorisations sans changer d'onglet.

5. Chaque outil s'appuie sur des points de terminaison RPC de nœuds publics pour récupérer les données d'approbation : aucun ne nécessite une exposition de clé privée ou une connexion à un portefeuille pour fonctionner.

Risques liés aux approbations non révoquées

1. Les interfaces dApp compromises peuvent déclencher silencieusement des transferts à partir de portefeuilles contenant des allocations actives.

2. Les projets de type « rug-pull » conservent souvent leurs approbations même après que les liquidités ont été épuisées, ce qui permet des vagues de vols secondaires.

3. Les approbations héritées des expériences testnet abandonnées peuvent persister et devenir exploitables si elles sont réutilisées sur le réseau principal.

4. Les sites de phishing imitent les interfaces de révocation légitimes pour inciter les utilisateurs à signer des transactions malveillantes déguisées en appels sans autorisation.

5. Certains jetons implémentent des fonctions d'approbation non standard, ce qui entraîne une mauvaise lecture des valeurs d'allocation ou un échec complet de la détection.

Foire aux questions

Q : Puis-je révoquer une approbation sans payer d'essence ? R : Non. La révocation nécessite une transaction en chaîne invoquant la méthode d'approbation du contrat de jeton avec une valeur de zéro. Le gaz est obligatoire sur tous les réseaux compatibles EVM.

Q : La déconnexion de mon portefeuille d'une dApp annule-t-elle les approbations de jetons ? R : Non. La déconnexion du portefeuille coupe uniquement la couche de session. Les allocations en chaîne restent inchangées jusqu'à ce qu'elles soient explicitement révoquées via une transaction.

Q : Pourquoi Etherscan affiche-t-il « Inconnu » pour certaines adresses de dépensiers ? R : Cela se produit lorsque le contrat ne dispose pas d'un code source vérifié ou lorsque l'adresse est un proxy sans ABI publié, toujours entièrement fonctionnel pour les retraits s'il est approuvé.

Q : Les portefeuilles matériels peuvent-ils empêcher les approbations accidentelles ? R : Les portefeuilles matériels affichent les détails de l'approbation avant la signature, mais ils ne peuvent pas bloquer la transaction si l'utilisateur confirme. Ils ne rejettent pas automatiquement les allocations infinies.