موافقات TRC-20: كيف تُسرق بها USDT وكيف تلغيها

ما هي الموافقة

لرموز TRC-20، ومنها USDT، دالة approve. حين توقّعها فأنت تقول: «يمكن لهذا العنوان أن يخصم من محفظتي حتى N رمز». بعد ذلك يستدعي العنوان المأذون له الخصم (transferFrom) بنفسه، ولا يلزم توقيعك لكل خصم.

هذه آلية عادية: تطلب تطبيقات المبادلة وغيرها موافقة لتنفيذ التبادل. لكن المشكلة مزدوجة: كثير من التطبيقات تطلب موافقة غير محدودة، وهي تبقى سارية حتى تلغيها — لسنوات.

كيف تُستغل للسرقة

لا يحتاج المحتال إلى عبارة الاسترداد. يكفيه توقيع approve واحد لعنوانه. الذرائع المعتادة:

• «احصل على airdrop»، «استلم مكافأة»، «وثّق محفظتك للسحب».
• صفحة مزيفة لتطبيق مبادلة أو تطبيق معروف.
• «دعم فني» في تيليجرام يطلب ربط محفظتك بموقع «للفحص».
• موقع «لمبادلة» USDT مزيفة استلمتها «هدية».

تبدو نافذة المحفظة عادية: «Approve» أو «تأكيد»، وأحيانًا increaseAllowance. بعد دقيقة أو شهر يخصم العنوان المأذون له رصيد الرمز كاملًا. ولا تسألك المحفظة شيئًا: فالموافقة موجودة بالفعل.

كيف ترى الموافقات الممنوحة

تُخزَّن الموافقات في البلوكشين، لذا تُرى حسب العنوان دون ربط المحفظة. الصق عنوانك في GuardPay /check: في التقرير قسم للموافقات الممنوحة — لمن، وعلى أي رمز، وبأي مبلغ. والعناوين التي سبق أن أفرغت محافظ آخرين مُعلَّمة.

كيف تلغي الموافقة ولماذا يلزم التوقيع

إلغاء الموافقة يعني إرسال دالة approve نفسها بمبلغ 0 إلى المأذون له نفسه. إنها معاملة عادية من محفظتك، ولذلك:

1. يجب ربط المحفظة التي تملك الرموز وتوقيع المعاملة. دون توقيع المالك لا يستطيع أحد الإلغاء — لا نحن ولا المنصة ولا دعم المحفظة.
2. تحتاج إلى قليل من TRX أو الطاقة للرسوم، كأي عملية على عقد.
3. موافقة واحدة — توقيع واحد. لا يوجد في TRON إرسال جماعي: «إلغاء الكل» يعني عدة توقيعات متتالية.

إلغاء GuardPay /revoke يعرض موافقات عنوانك مقروءة مباشرة من العقد، ويُعدّ الإلغاء في محفظتك أنت: توقيع واحد لكل موافقة. مفاتيحك وعبارة الاسترداد تبقى معك.

قبل التوقيع افحص نافذة المحفظة: الدالة approve، وعقد الرمز هو الذي تلغيه، والمأذون له هو الذي تلغيه، والمبلغ 0. ألغِ عبر محفظة أو خدمة تثق بها، ولا تُدخل عبارة الاسترداد أبدًا في موقع «إلغاء».

متى لا يفيد الإلغاء

الإلغاء يوقف الخصومات المستقبلية لكنه لا يعيد ما خُصم بالفعل. إذا ذهبت الأموال فتتبّع مسارها قبل أن تتوزع على مكاتب الصرافة: ماذا تفعل في الساعات الأولى.

وإذا كان المسروق ليس موافقة بل المفتاح كله (أدخلت عبارة الاسترداد في موقع، أو نزّلت «محفظة» من مصدر غير موثوق)، فالإلغاء بلا فائدة: لدى المحتال المفتاح نفسه. عندها انقل ما تبقى فورًا إلى محفظة جديدة بعبارة جديدة.

عادات تحميك

• امنح الموافقة على مبلغ الصفقة بالضبط لا على مبلغ غير محدود، إن سمح التطبيق بذلك.
• احتفظ بأموالك الرئيسية في محفظة منفصلة لا تربطها بأي موقع.
• مرة في الشهر افحص عنوانك في /revoke وألغِ ما لم تعد تستخدمه.