Token-jóváhagyás: mit engedélyezel a tárcádban, és hogyan vonod vissza?

Ha egy decentralizált alkalmazás “jóváhagyást” kér a tárcádban, akkor nem egy pénzküldést írsz alá, hanem egy tartós engedélyt: egy okosszerződés onnantól a te nevedben mozgathatja az adott tokenedet, akár korlátlan mennyiségben, és ez az engedély magától soha nem jár le. A jó hír: minden ilyen engedélyt meg tudsz nézni, és egy rövid tranzakcióval vissza tudod vonni. Ebből a leckéből megtanulod, mit írsz alá, hogyan ellenőrizd a meglévő engedélyeidet, és mikor kell visszavonni őket.

Ez a lecke oktatási anyag, nem befektetési tanács, és nem ajánl konkrét alkalmazást vagy tokent. Biztonsági szokást tanít, amelyet a saját tárcádon, a saját tempódban gyakorolhatsz.

Miért kér a tárcád jóváhagyást?

Az okosszerződésről szóló leckében láttad, hogy az okosszerződés egy program a blokkláncon, amely előre leírt szabályt hajt végre. Ha egy decentralizált váltón tokent cserélsz, a váltó szerződésének el kell tudnia venni a tokenedet a tárcádból, különben nem tudja elvégezni a cserét. Erre szolgál a jóváhagyás.

A jóváhagyás (angolul approval vagy allowance) egy engedély, amelyben megmondod: ez a cím ennyit költhet el ebből a tokenemből. Az Ethereum tokenszabványa, az ERC-20 ezt kifejezetten így írja le: az approve funkció megengedi egy másik címnek (a “spendernek”), hogy többször is vegyen el a számládról, egy megadott összeghatárig. Egy szabvány itt annyit jelent, hogy minden ilyen token ugyanúgy működik, ezért minden tárca ugyanúgy tudja kezelni.

Két dolog fontos ebből. Egy: az engedély nem egy tranzakcióra szól, hanem a megadott határig bármennyiszer felhasználható. Kettő: sok alkalmazás korlátlan összeget kér, hogy neked ne kelljen minden alkalommal újra jóváhagyni és díjat fizetni. Ez kényelmes, de azt is jelenti, hogy a szerződés a tokened teljes mennyiségét elviheti, ha feltörik vagy eleve rosszindulatú.

A natív coinhoz, például az ETH-hoz, nem kell jóváhagyás. A MetaMask leírása szerint ilyen engedélyt az ERC-20 típusú tokenekhez kell adni, például stablecoinokhoz.

Háromféle engedély, amivel kezdőként találkozol

Token-jóváhagyás (approve). Egy adott tokenre, egy adott címnek, egy adott összegig. Ez a leggyakoribb, ezt kéri a váltó vagy a lending alkalmazás.

Gyűjtemény-szintű NFT-engedély (setApprovalForAll). Egy címnek engedélyt ad, hogy egy NFT-gyűjteményed összes darabját mozgassa. Az NFT egy egyedi, blokkláncon nyilvántartott digitális tulajdonjegy, erről az NFT-leckében írtunk. A MetaMask külön figyelmeztet: egy NFT megkapásához (például egy “ingyenes drophoz”) soha nem kellene ilyen engedélyt aláírnod.

Aláírással adott engedély (permit). Az ERC-2612 kiegészítés lehetővé teszi, hogy az engedélyt ne tranzakcióval, hanem egy aláírt üzenettel add meg. Neked ez díjmentesnek és ártalmatlannak tűnhet, mert “csak aláírsz”, nem küldesz semmit. Valójában ugyanolyan engedélyt hozhat létre, mint a sima jóváhagyás. Ezért az ismeretlen oldalon kért aláírás nem kisebb kockázat, csak kevésbé látszik.

Mit nézz meg, mielőtt jóváhagysz?

Tipp: a jóváhagyás ablaka az utolsó pont, ahol még ingyen mondhatsz nemet. Utána már csak díjért vonhatod vissza, ha addig nem késő.

Négy kérdés, mielőtt megnyomod a gombot:

1. Én kezdeményeztem ezt a műveletet? Ha egy oldal magától dob fel engedélykérést, vagy egy “támogató” diktálja a lépéseket, állj meg. Az airdrop-átverésekről szóló lecke pont ezt a forgatókönyvet mutatja be.
2. Melyik tokenre szól? Ha egy egyszerű csere egy másik tokenedre is engedélyt kér, az figyelmeztető jel.
3. Mekkora összegre? Sok tárca megengedi, hogy a korlátlan helyett pontos összeget adj meg. Adj annyit, amennyi az adott művelethez kell.
4. Kinek? A tárca mutatja a cím elejét és végét. Ha ismeretlen, és az oldal címe sem az, amit vártál, ne hagyd jóvá.

Adat → Értelmezés → Teendő

Adat. A Chainalysis 2024 júliusában közölt becslése szerint 2021 májusa óta több mint 2,7 milliárd dollár veszett el úgynevezett approval phishing csalásokban, vagyis olyan esetekben, amikor a csaló ráveszi az áldozatot, hogy egy neki szóló engedélyt hagyjon jóvá. A cég 2026-os összefoglalója szerint egy brit, kanadai és amerikai hatósági akció több mint 20 ezer érintettet azonosított. Az ethereum.org útmutatója szerint a szerződéses engedélyeknek nincs lejárati dátuma, évekkel később is felhasználhatók.

Értelmezés. A csalás nem a blokklánc feltörésével működik, hanem a te aláírásoddal. A blokklánc azt hajtja végre, amit engedélyeztél. Mivel az engedély nem jár le, egy régen elfelejtett jóváhagyás is kockázat marad, ha a szerződés később hibásnak vagy rosszindulatúnak bizonyul.

Teendő. Nem az a megoldás, hogy soha semmit ne hagyj jóvá, mert akkor decentralizált alkalmazást sem tudsz használni. Hanem az, hogy pontos összegre adj engedélyt, és rendszeresen, például havonta, nézd át és vond vissza a feleslegeseket.

Hogyan nézd át és vond vissza az engedélyeidet?

Az ethereum.org és a MetaMask leírása ugyanazt a folyamatot írja le, eszköztől függetlenül:

1. Nyiss egy engedély-ellenőrzőt. Ilyen van a hálózat blokkfelfedezőjében (például az Etherscan “token approval checker” funkciója), a tárcád saját felületén, vagy független eszközökben. A blokkfelfedező egy nyilvános weboldal, ahol bármely cím tranzakcióit és engedélyeit megnézheted. A címet mindig kézzel írd be vagy könyvjelzőből nyisd meg, ne hirdetésből.
2. Válaszd ki ugyanazt a hálózatot, amelyiken az engedélyt adtad. Az Ethereumon adott engedély nem látszik a Polygon listájában, és fordítva.
3. Nézd végig a listát. Minden sorban látod a tokent, a spender címét és az engedélyezett összeget.
4. Vonj vissza minden engedélyt, amire nincs szükséged. A visszavonás egy új tranzakció, amely nullára állítja az engedélyt, ezért hálózati díjat fizetsz érte.
5. Ellenőrizd újra néhány perc múlva, hogy a sor eltűnt-e.

A lista átnézésekor érdemes minden sorra állapotcímkét tenni:

• Aktív, rendben: ismert alkalmazás, most is használod, az összeg ésszerű. Maradhat.
• Alvó: ismert alkalmazás, de hónapok óta nem használod. Vond vissza, ha kell, újra megadod.
• Korlátlan és ismeretlen: nem emlékszel rá, vagy nem tudod, mi a cím. Vond vissza most.
• Sürgős: gyanús oldalon írtál alá, vagy hírt olvastál, hogy az adott alkalmazást feltörték. Vond vissza azonnal, és figyeld a tárcád.

Az ethereum.org szerint a visszavonás nem zárja le a meglévő pozícióidat, például egy letétet vagy kölcsönt, csak a további tokenmozgatás engedélyét veszi el. Fontos különbség: a tárca leválasztása (disconnect) az alkalmazásról nem azonos a visszavonással. A leválasztás után az engedély a blokkláncon ugyanúgy él.

Mélyebben: mikor nem elég a visszavonás?

A visszavonás egy konkrét engedélyt szüntet meg. Három helyzetben ez nem elég, és ezt érdemes előre tudni.

Ha már késő. Ha a csaló az engedéllyel már elvitte a tokent, a visszavonás a már megtörtént mozgást nem csinálja vissza. A blokklánc tranzakciói véglegesek. A visszavonás ilyenkor a még megmaradt tokeneket védi.

Ha a seed phrase-ed szivárgott ki. A seed phrase az a szólista, amelyből a tárcád összes kulcsa visszaállítható. Ha valaki megszerezte, nem engedélyre van szüksége, hanem közvetlenül hozzáfér mindenhez. Ilyenkor a teendő egy új tárca létrehozása és a pénz átmozgatása, nem a visszavonás. Erről a seed phrase-ről szóló lecke szól.

Ha egy “segítő” ajánlja fel a visszaszerzést. Aki pénzért vagy a seed phrase-ed fejében ígéri, hogy visszahozza az elvitt tokeneket, szinte biztosan újabb csaló. A recovery scamről szóló lecke megmutatja, hogyan ismered fel.

Mi érvénytelenítené ezt a leckét? Ha a tárcák egyszer alapértelmezetten lejáró, pontos összegű engedélyeket adnának, a rendszeres átnézés kevésbé lenne fontos. Ma ez nem általános, ezért a szokás a te dolgod.

Ellenőrzőlista

• Jóváhagyás előtt megnézem: én kezdeményeztem-e, melyik tokenre, mekkora összegre és kinek szól.
• Ahol a tárcám engedi, pontos összeget adok meg korlátlan helyett.
• NFT megkapásához nem írok alá gyűjtemény-szintű engedélyt.
• Ismeretlen oldalon “csak egy aláírást” sem adok meg, mert az is lehet engedély.
• Havonta egyszer átnézem az engedélyeimet minden hálózaton, amit használok.
• Az alvó és ismeretlen engedélyeket visszavonom, és utána újra ellenőrzöm a listát.
• Tudom, hogy a leválasztás nem visszavonás.
• A nagyobb összeget külön tárcában tartom, amellyel nem kapcsolódom alkalmazásokhoz.

Mit jelent ez neked?

A jóváhagyás nem ellenség: nélküle nem működik a decentralizált váltó vagy a lending. De minden engedély egy nyitva hagyott ajtó, amely addig marad nyitva, amíg be nem csukod. A gyakorlatban három szokás elég: aláírás előtt olvasd el, mit engedélyezel; adj pontos összeget; és havonta nézd át a listát. Ha a MetaMaskot vagy más böngészős tárcát használsz, a legbiztonságosabb felállás egy kis összegű “használati” tárca az alkalmazásokhoz, és egy külön tárca, ideális esetben hardvertárca, a hosszú távú megtakarításnak. Ha még csak most ismerkedsz a DeFi-vel, előbb olvasd el, miért kell vele óvatosnak lenni kezdőként.

Ez a lecke nem befektetési tanács. A következő lépésed: nyisd meg a tárcád engedélylistáját, és nézd meg, mit találsz benne.