Дізнайтеся, як Trust Wallet вирішує проблеми ризиків підтвердження токенів за допомогою безпечнішого UX та інструментів для понад 200 мільйонів користувачів. Автор: Єва Лам, CISO в Trust Wallet.
Невидимий ризик, що причаївся у вашому гаманці
Підтвердження токенів є однією з найбільш недооцінених загроз у Web3. Кожного разу, коли ви підключаєте свій гаманець і дозволяєте децентралізованим застосункам (dApps) доступ до ваших токенів, ви часто надаєте необмежений доступ. З часом ці дозволи тихо накопичуються у фоновому режимі. Більшість користувачів навіть не знають про їх існування, і фактично, згідно з даними Revoke, з 2020 року було викрадено понад 475 мільйонів доларів через зламані дозволи та експлойти. На наш погляд, це більше, ніж просто технічний недолік. Це скоріше провал UX та сліпа зона безпеки, і для наступної хвилі користувачів, які входять у Web3, це ризик, який вони не повинні нести.
Лідерство в питаннях безпеки є основною відповідальністю для будь-якого постачальника гаманців — і з понад 15 мільйонами активних користувачів щомісяця та більш ніж 200 мільйонами завантажень, це відповідальність, яку Trust Wallet повністю приймає. Вирішення проблеми підтвердження токенів є частиною цього зобов'язання, що забезпечує сильніший захист для всіх, хто покладається на нас, і допомагає створити безпечнішу екосистему Web3.
Чому нескінченні підтвердження стали нормою
Коли ви використовуєте децентралізований застосунок (dApp), він не може переміщувати ваші токени, якщо ви не надасте дозвіл через транзакцію підтвердження токена. Підтвердження дозволяють смартконтракту витрачати ваші токени від вашого імені. Більшість dApps запитують необмежений дозвіл, щоб вам не доводилося підтверджувати кожного разу. Після надання ці дозволи залишаються активними в блокчейні, доки ви їх не відкличете.
Ця зручність має свою ціну: підтвердження токенів за замовчуванням є тихими, постійними та ризикованими. Користувачі надають dApps необмежений доступ, не усвідомлюючи цього. Гаманці рідко показують або пояснюють ці дозволи. Зловмисники використовують їх — часто через довгий час після надання дозволу.
Як ризик підтвердження накопичується з часом
Реальні загрози часто слідують цим шаблонам. Зловмисник може обманом змусити вас надати необмежений дозвіл шкідливому контракту. Ви можете не бачити проблеми, якщо ваш гаманець порожній на той момент. Пізніше, коли ви внесете кошти, контракт миттєво їх спустошить. Або колись довірений контракт стає скомпрометованим, перетворюючи безпечний дозвіл на небезпечну вразливість.
Ще більш тривожним є те, що в більшості сучасних гаманців нелегко переглядати або керувати підтвердженнями токенів. Середньому користувачеві буде важко з'ясувати, які контракти мають доступ до їхніх активів, не кажучи вже про оцінку того, які з них є високоризикованими.
Можливість: нативні інструменти, створені правильно
Більшості гаманців бракує нативного, зручного інтерфейсу для перегляду та керування підтвердженнями токенів. Деякі покладаються на сторонні інструменти або приховують дозволи глибоко в налаштуваннях — якщо взагалі це роблять. В результаті користувачі часто не знають, які контракти мають постійний доступ.
У Trust Wallet ми визнаємо цей розрив — і працюємо над його усуненням. Ось чому управління підтвердженнями токенів є в нашому плані на 4-й квартал цього року: створено для масштабування, розроблено з турботою та випущено з точністю, де безпека на першому місці. Наше бачення — це розумна, орієнтована на користувача панель управління, яка спрощує складні дозволи блокчейну до чітких, дієвих висновків.
Як EIP-7702 допомагає зменшити ризик підтвердження
Зменшення кількості підтверджень, які користувач повинен зробити, може бути так само важливим, як і ефективне керування ними. EIP-7702 розроблений, щоб допомогти з цим, дозволяючи гаманцю симулювати та попередньо схвалювати всі необхідні дії в одному безпечному сеансі. Ви підписуєте один раз, і релеєр обробляє як підтвердження, так і передбачену транзакцію у фоновому режимі.
З 7702:
- Гаманець симулює всі необхідні підтвердження та транзакції.
- Користувач підписує один намір сеансу.
- І підтвердження, і дія виконуються разом.
- Менше спливних вікон "підтвердити", менше тривалих необмежених дозволів.
Коротко кажучи, 7702 спрощує UX, зменшуючи потребу в ризикованих, постійних дозволах.
Переосмислення гігієни підтверджень як щоденного UX
Контроль над підтвердженнями токенів повинен відчуватися так само природно, як інші рутинні перевірки, які люди роблять для збереження безпеки в інтернеті. Процес працює найкраще, коли він інтегрований у звичайне використання гаманця, а не залишений як окреме завдання, яке користувач повинен пам'ятати.
Trust Wallet створює функції, щоб зробити це обслуговування легким: ненав'язливі нагадування для перегляду активних підтверджень, візуальні підказки для контрактів, які можуть бути ризикованими або застарілими, опції для автоматичного закінчення терміну доступу після неактивності та панель управління, яка чітко перераховує кожен активний дозвіл в одному місці. Коли ці запобіжні заходи є частиною звичайного потоку, користувачі можуть залишатися захищеними без додаткових зусиль.
Гаманці як охоронці, а не просто інтерфейси
Підтвердження токенів є частиною більшого питання: як гаманці можуть зробити більше для захисту користувачів?
У Trust Wallet безпека вбудована у все, що ми створюємо. Наш Сканер безпеки проактивно виявляє відомі шахрайства та шкідливі контракти, блокуючи небезпечні підтвердження та з'єднання з dApp до того, як вони відбудуться. З 2023 року ми заблокували понад 458 мільйонів доларів від потрапляння до шкідливих контрактів і допомогли повернути понад 2 мільйони доларів викрадених коштів.
Ми були першим великим гаманцем самозберігання, який отримав сертифікацію ISO/IEC 27001 та 27701, відповідаючи міжнародно визнаним стандартам безпеки та конфіденційності.
Той самий принцип буде керувати нашими інструментами підтвердження токенів: захист, який вбудований, а не прикріплений.
Погляд у майбутнє: будуємо для наступних 200 мільйонів
Наша відповідальність виходить за рамки підтримки того, що ми вже створили — йдеться про підготовку до наступної хвилі користувачів Web3 та викликів, з якими вони зіткнуться. Це означає продовження впровадження функцій, які усувають тертя та посилюють безпеку, таких як кращі налаштування за замовчуванням та розумніша автоматизація, біометричний вхід у нашому розширенні, кросчейн простота з FlexGas, щоб газ можна було оплачувати токенами, які користувачі вже мають, тощо.
З усім, що ми розглянули, не потрібно говорити, що одним з найважливіших розробок на горизонті є наше нативне управління підтвердженнями токенів. Це дасть кожному користувачеві чітке уявлення про те, які контракти можуть отримати доступ до їхніх токенів, виділить потенційні ризики та зробить відкликання або коригування дозволів швидким і простим. У поєднанні з нашими іншими досягненнями в галузі безпеки та зручності використання, це допоможе забезпечити, щоб мільйони людей могли досліджувати Web3 з набагато більшою впевненістю.
Цей підхід відповідає нашому погляду, що гаманці — це не просто інструменти, вони по суті є супутниками Web3. Вони повинні абстрагувати складність, виявляти ризики та створювати можливості, не компрометуючи безпеку користувача.
Заключні думки
Підтвердження токенів не повинні бути невидимими, постійними або причиною втрати коштів користувачами. З розумнішими інструментами, безпечнішими налаштуваннями за замовчуванням та вбудованим захистом ми можемо зробити цей ризик справою минулого. У Trust Wallet ми будуємо для сьогоднішніх користувачів і наступних 200 мільйонів — тому що з таким масштабом приходить відповідальність лідерства.
Слідкуйте за оновленнями. Безпечніший, розумніший досвід використання гаманця вже на шляху.
Пост "Прихована небезпека у вашому гаманці: пояснення підтверджень токенів" вперше з'явився на BeInCrypto.
Джерело: https://beincrypto.com/hidden-danger-wallet-token-approvals-explained/
