Aprovações TRC-20: como são usadas para roubar USDT e como revogá-las

O que é uma aprovação

Tokens TRC-20, incluindo o USDT, têm a função approve. Ao assiná-la você diz: «este endereço pode debitar da minha carteira até N tokens». Depois o autorizado chama o débito (transferFrom) por conta própria, sem precisar da sua assinatura a cada débito.

É um mecanismo normal: apps de troca e outros pedem aprovação para fazer a conversão. O problema é duplo. Muitos apps pedem aprovação ilimitada, e ela vale até você revogar — por anos.

Como é usada para roubar

O golpista não precisa da sua frase de recuperação. Basta uma assinatura de approve para o endereço dele. Pretextos comuns:

• «Resgate um airdrop», «receba um bônus», «verifique a carteira para sacar».
• Página falsa de um app de troca ou de um app conhecido.
• «Suporte» no Telegram pedindo para conectar a carteira a um site «para verificação».
• Site para «trocar» USDT falso que você recebeu «de presente».

A janela da carteira parece rotineira: «Approve», «Confirmar», às vezes increaseAllowance. Um minuto ou um mês depois, o autorizado debita todo o saldo do token. A carteira não pergunta nada: a aprovação já existe.

Como ver as aprovações concedidas

As aprovações ficam na blockchain, então aparecem pelo endereço sem conectar a carteira. Cole seu endereço no GuardPay /check: o relatório tem uma seção de aprovações concedidas — para quem, de qual token e de quanto. Endereços que já esvaziaram carteiras de outras pessoas aparecem marcados.

Como revogar e por que precisa de assinatura

Revogar uma aprovação é enviar a mesma função approve com valor 0 para o mesmo autorizado. É uma transação comum da sua carteira, por isso:

1. É preciso conectar a carteira dona dos tokens e assinar a transação. Sem a assinatura do dono ninguém revoga — nem nós, nem uma exchange, nem o suporte da carteira.
2. É preciso um pouco de TRX ou energia para a taxa, como em qualquer ação com contrato.
3. Uma aprovação, uma assinatura. A TRON não tem envio em lote: «revogar tudo» são várias assinaturas seguidas.

O GuardPay /revoke mostra as aprovações do seu endereço lidas direto do contrato e prepara a revogação na sua própria carteira: uma assinatura por aprovação. Suas chaves e sua frase-semente ficam com você.

Antes de assinar, confira a janela: método approve, o contrato do token é o que você revoga, o autorizado é o que você revoga, o valor é 0. Revogue por uma carteira ou serviço de confiança e nunca digite a frase de recuperação num site de «revogação».

Quando revogar não ajuda mais

Revogar impede débitos futuros, mas não devolve o que já foi debitado. Se o dinheiro já foi, rastreie o caminho antes que ele se espalhe por casas de câmbio: o que fazer nas primeiras horas.

E se o roubo não foi por aprovação, mas da chave inteira (você digitou a frase num site, baixou uma «carteira» de fonte não verificada), revogar é inútil: o golpista tem a própria chave. Então mova com urgência o que sobrou para uma carteira nova com frase nova.

Hábitos que protegem

• Aprove o valor exato da operação, não ilimitado, se o app permitir.
• Mantenha os fundos principais numa carteira separada que nunca é conectada a sites.
• Uma vez por mês, verifique seu endereço no /revoke e revogue o que não usa mais.