Мошенничество с подтверждением токенов — схема, где жертва подписывает не перевод, а разрешение распоряжаться её токенами. Средства остаются на месте, и потому подпись не вызывает тревоги; списывают их позже, иногда через недели.

Почему разрешения вообще нужны

Стандарт токенов устроен так, что контракт не может взять токены сам — сначала владелец даёт ему право на определённую сумму. Любой обмен на децентрализованной бирже начинается с такого разрешения. Проблема в привычке: интерфейсы годами предлагали выдавать его без ограничения суммы, чтобы не повторять операцию, и пользователи привыкли подтверждать не глядя.

Как выглядит обман

Поддельный сайт просит разрешение «для проверки права на участие» или «для получения награды». Сумма в запросе — неограниченная, срок — бессрочный, получатель — контракт злоумышленника. Дальше работает похититель из кошельков: он опрашивает кошелёк и выводит то, на что получил право.

Что делать

Выдавать разрешение на конкретную сумму, а не на весь баланс, — современные кошельки это позволяют. Периодически просматривать список выданных разрешений и отзывать ненужные; отзыв стоит комиссию за газ, но это дешевле потери. Держать средства и эксперименты на разных кошельках. И помнить, что подпись без комиссии — тоже действие, а не просто «вход».