Разрешения TRC-20: как ими крадут USDT и как их отозвать

Что такое разрешение

У токенов TRC-20, в том числе у USDT, есть функция approve. Подписывая её, вы говорите: «этот адрес может списать с моего кошелька до N токенов». Получатель разрешения потом сам вызывает списание (transferFrom), и вашей подписи на каждое списание уже не нужно.

Это нормальный механизм: обменники и другие приложения просят разрешение, чтобы провести обмен. Проблема в двух вещах. Многие приложения просят безлимитное разрешение, и оно действует, пока вы его не отзовёте, — годами.

Как этим крадут

Мошеннику не нужна ваша фраза восстановления. Достаточно одной подписи approve на его адрес. Типичные поводы:

• «Получите airdrop», «заберите бонус», «подтвердите кошелёк для вывода».
• Поддельная страница обменника или известного приложения.
• «Поддержка» в Telegram, которая просит подключить кошелёк к сайту «для проверки».
• Сайт «обмена» поддельного USDT, полученного «в подарок».

Окно кошелька при этом выглядит буднично: «Approve», «Подтвердить», иногда increaseAllowance. Через минуту или через месяц получатель разрешения списывает весь баланс токена. Кошелёк ничего не спрашивает: разрешение уже есть.

Как увидеть выданные разрешения

Разрешения хранятся в блокчейне, поэтому видны по адресу без подключения кошелька. Вставьте свой адрес в GuardPay /check: в отчёте есть раздел выданных разрешений — кому, на какой токен и на какую сумму. Адреса, которые уже обчищали других, отмечены.

Как отозвать и почему нужна подпись

Отозвать разрешение — значит отправить ту же функцию approve с суммой 0 на того же получателя. Это обычная транзакция из вашего кошелька, поэтому:

1. Нужно подключить кошелёк, которому принадлежат токены, и подписать транзакцию. Без подписи владельца отозвать нельзя никому — ни нам, ни бирже, ни поддержке кошелька.
2. Нужно немного TRX или энергии на комиссию, как для любого действия с контрактом.
3. Одно разрешение — одна подпись. В TRON нет пакетной отправки: «отозвать всё» означает несколько подписей подряд.

Отзыв GuardPay /revoke показывает разрешения вашего адреса, прочитанные прямо из контракта, и готовит отзыв в вашем собственном кошельке: одна подпись на разрешение. Ключи и фраза восстановления остаются у вас.

Перед подписью проверьте окно кошелька: метод approve, контракт токена — тот, что вы отзываете, получатель — тот, кого вы отзываете, сумма — 0. Отзывайте через кошелёк или сервис, которому доверяете, и никогда не вводите фразу восстановления на сайте «отзыва».

Когда отзыв уже не поможет

Отзыв закрывает будущие списания, но не возвращает то, что уже списано. Если деньги ушли, проследите их путь, пока они не разошлись по обменникам: как действовать в первые часы.

И если украли не по разрешению, а ключ целиком (вы вводили фразу восстановления на сайте, скачивали «кошелёк» из непроверенного источника), отзыв бесполезен: у мошенника есть сам ключ. Тогда срочно переведите оставшееся на новый кошелёк с новой фразой.

Привычки, которые защищают

• Давайте разрешение на точную сумму сделки, а не безлимитное, если приложение позволяет.
• Держите основные средства в отдельном кошельке, который не подключаете к сайтам.
• Раз в месяц проверяйте свой адрес в /revoke и отзывайте то, чем больше не пользуетесь.