Qu'est-ce que l'approbation des jetons dans un portefeuille ? Peut-il dépenser ma crypto ?

Qu'est-ce que l'approbation des jetons ?

1. L'approbation des jetons est un mécanisme d'autorisation intégré aux portefeuilles compatibles Ethereum qui permet aux applications décentralisées (dApps) d'accéder et de gérer des jetons spécifiques détenus dans le portefeuille d'un utilisateur.

2. Lors de l'interaction avec une dApp, telle qu'un échange décentralisé, un protocole d'agriculture de rendement ou un marché NFT, le contrat intelligent demande l'approbation pour dépenser un montant défini d'un jeton ERC-20 particulier au nom de l'utilisateur.

3. Cette approbation est exécutée via une transaction blockchain et enregistrée en permanence sur la chaîne, ce qui signifie qu'elle ne peut être révoquée sans une autre transaction.

4. L'approbation ne transfère pas les fonds immédiatement ; il n'accorde que des droits de dépenses futures jusqu'à la limite approuvée.

5. Les utilisateurs voient souvent cette étape comme un bouton « Définir l'approbation » ou « Approuver » avant d'effectuer des actions telles que l'échange ou le jalonnement.

Comment fonctionne l’approbation techniquement ?

1. Chaque contrat de jeton ERC-20 contient une fonction approuver() qui prend deux paramètres : l'adresse du dépensier et le montant autorisé.

2. Une fois appelé, le contrat de jeton stocke ce mappage d'allocation dans son état interne, associant l'adresse du dépensier à la valeur autorisée.

3. Les appels ultérieurs du dépensier approuvé, comme transferFrom() , sont validés par rapport à cette allocation stockée avant exécution.

4. Si le transfert demandé dépasse le montant approuvé, la transaction est annulée avec une erreur.

5. Les approbations sont spécifiques au contrat : l'approbation de l'USDC pour Uniswap n'accorde pas l'accès au DAI ou à tout autre jeton.

Risques associés aux approbations de jetons

1. Une dApp malveillante ou compromise peut drainer tous les jetons approuvés si l'allocation est définie sur une valeur illimitée, généralement représentée par type(uint256).max .

2. Les approbations inutilisées restent actives indéfiniment et peuvent constituer des menaces si la dApp associée devient ultérieurement vulnérable ou devient malveillante.

3. Les interfaces de portefeuille mettent rarement en évidence les approbations en attente, ce qui permet aux utilisateurs de les oublier ou de les ignorer facilement.

4. Certaines interfaces frontales masquent la véritable adresse de destination lors de l'approbation, augmentant ainsi la vulnérabilité aux attaques de phishing.

5. Même des protocoles réputés ont subi des exploits directement liés à des allocations de jetons excessives ou mal configurées.

Gestion et révocation des approbations

1. Des outils tels que Etherscan, Revoke.cash et Token Approvals Checker permettent aux utilisateurs de visualiser toutes les allocations actives liées à l'adresse de leur portefeuille.

2. La révocation nécessite l'envoi d'une nouvelle transaction appelant approuver(spender, 0) sur le contrat de jeton spécifique.

3. Des frais de gaz s'appliquent à chaque action de révocation, et les utilisateurs doivent lancer chacune d'entre elles manuellement : aucun nettoyage automatique n'existe.

4. Certaines extensions de portefeuille incluent désormais des gestionnaires d'approbation intégrés qui affichent, trient et révoquent les autorisations directement dans l'interface utilisateur.

5. Les meilleures pratiques imposent de fixer des allocations minimales au lieu d’allocations illimitées, sauf si cela est strictement requis par les mécanismes du protocole.

Foire aux questions

Q : Une dApp peut-elle dépenser mon ETH via l'approbation du jeton ? R : Non. Les approbations de jetons s'appliquent uniquement aux jetons ERC-20 et compatibles, et non à l'ETH natif. Les transferts ETH nécessitent une signature de transaction directe.

Q : La révocation de l'approbation annule-t-elle les transactions en attente ? R : Non. La révocation empêche uniquement les transferts futurs. Toute transaction déjà diffusée mais non confirmée utilisant l'ancienne allocation sera toujours exécutée si elle est extraite.

Q : Pourquoi certains protocoles demandent-ils l’approbation deux fois ? R : Cela se produit souvent lors de l'interaction avec des architectures en couches (par exemple, approuver d'abord un contrat de routeur, puis un contrat de pool), chacune nécessitant des allocations distinctes.

Q : Existe-t-il un moyen de révoquer automatiquement les approbations après utilisation ? R : Pas nativement. Les contrats intelligents ne peuvent pas révoquer automatiquement les allocations. Les utilisateurs doivent lancer la révocation manuellement ou s'appuyer sur des outils tiers dotés de fonctionnalités de nettoyage planifiées.