Мошенничество с неограниченным одобрением на TRON: как одобрение токенов опустошает кошельки

Неограниченное одобрение токенов — это молчаливый механизм, лежащий в основе многих сливов кошельков TRON. Когда вы взаимодействуете с децентрализованной биржей, протоколом кредитования или фишинговым сайтом, вы можете подписать транзакцию approve, предоставляющую смарт-контракту разрешение на перемещение ваших токенов TRC-20. Мошенники запрашивают неограниченное разрешение, а затем забирают весь ваш баланс USDT через несколько часов или недель без каких-либо дополнительных запросов.

Понимание одобрений важно для всех, у кого есть USDT на TRON. В этом руководстве рассказывается, как работает approve, чем опасны неограниченные разрешения, а также как их проверять и отзывать.

Что такое одобрение TRC-20? {#что такое-одобрение}

Токены TRC-20, такие как USDT, живут в смарт-контрактах. Перемещение токенов через сторонний контракт (маршрутизатор DEX, контракт на стейкинг, вредоносный фильтр) требует двух шагов:

1. одобрить(потратитель, сумма) — вы разрешаете spender снимать до amount ваших токенов.
2. transferFrom(вы, получатель, сумма) — контракт отправителя получает токены в пределах утвержденного лимита.

Этот шаблон обеспечивает законность DeFi на SunSwap и JustLend. Опасность заключается в том, чтобы одобрить злонамеренного или скомпрометированного транжиру с огромной суммой.

Шаблон неограниченного одобрения

Многие децентрализованные приложения по умолчанию одобряют 2^256 - 1 (максимальное значение uint256), поэтому пользователи подписывают один раз и меняют много раз. Законные протоколы сделали это для удобства, но это означает, что одна вредоносная подпись может раскрыть весь ваш баланс.

В TronLink неограниченное одобрение может отображаться как:

• «Безлимитно» рядом с USDT
• Очень длинное число в научной записи.
• Максимальное шестнадцатеричное значение в расширенных представлениях.

Красный флаг: Сайт, который вы посетили однажды, запрашивает неограниченное одобрение USDT, но вы так и не завершили обмен или депозит.

Как сливщики используют одобрения

Типичная последовательность атак:

1. Пользователь посещает фишинговый сайт (фейковый SunSwap, фейковый airdrop, фейковый стейкинг).
2. Сайт предлагает подключить кошелек + утвердить USDT.
3. Пользователь подтверждает неограниченное разрешение на контракт злоумышленника T....
4. Злоумышленник ждет (уменьшает немедленную подозрительность) или мгновенно истощает энергию через transferFrom.
5. Реальные USDT пользователя перемещаются в кошелек злоумышленника за одну транзакцию.

Вы можете этого не заметить, пока не проверите свой баланс или не попытаетесь осуществить перевод.

Поскольку TRON подтверждается быстро, удаленные средства часто пересылаются через несколько прыжков в течение нескольких секунд.

Законные и вредоносные одобрения

Прежде чем утвердить, проверьте адрес контракта отправителя на TronScan. Сравните с адресами, опубликованными в официальной документации протокола.

Как читать запросы на одобрение в TronLink

Прежде чем подтвердить:

1. Контракт утверждается — USDT — TR7NHqjeKQxGTCi8q8ZY4pL8otSzgjLj6t.
2. Адрес отправителя — Кто получает разрешение? Ищите на TronScan.
3. Сумма — точная цифра или неограниченная.
4. Веб-сайт для звонков — Соответствует ли он официальному домену?

Если какое-либо поле неясно, откажитесь и сначала исследуйте.

Отзыв одобрения на TronScan

Регулярная гигиена утверждения:

1. Перейдите к TronScan.
2. Найдите адрес своего кошелька.
3. Откройте раздел Одобрения или Одобрения токенов.
4. Проверьте каждого покупателя USDT (и других токенов).
5. Отозвать неизвестных или неиспользованных отправителей — подтвердите отзыв транзакции в TronLink (небольшая TRX/стоимость энергии).

После отзыва отправитель не сможет получить больше токенов, пока вы не одобрите его снова.

Более безопасные методы утверждения

• Предпочитайте ограниченное количество утверждений, когда dApp поддерживает точные суммы за транзакцию.
• Используйте горячее/холодное разделение. Храните долгосрочные сбережения в кошельке, который никогда не подключается к неизвестным сайтам.
• Отключить кошелек от сайтов после использования (список подключенных сайтов TronLink).
• Проверка контрактов — см. проверка смарт-контракта на TRON.
• Никогда не одобрять на страницах «Проверка кошелька» или «Синхронизация» — всегда фишинг.

Если ваш кошелек был опустошен через одобрение

1. Немедленно отзовите все оставшиеся разрешения со скомпрометированного кошелька.
2. Переместите все оставшиеся активы в новый кошелек со свежей исходной фразой.
3. Документируйте хэши транзакций и адреса отправителей.
4. Сообщите через TronScan сообщение о мошенничестве и в местные органы власти, если потери значительны.

Восстановление переведенных USDT происходит редко, поскольку злоумышленники перемещают средства вне цепочки или через миксеры.

Примечание разработчика

Если вы создаете децентрализованные приложения, по умолчанию используйте точные утверждения или потоки в стиле разрешений, где это возможно. Публикуйте адреса контрактов вашего маршрутизатора. Пользователи доверяют протоколам, которые минимизируют объем разрешений.

Часто задаваемые вопросы

Что означает неограниченное одобрение на TRON?

Это означает, что вы разрешили смарт-контракту (плательщику) перевести максимально возможную сумму токена TRC-20 из вашего кошелька, а не только сумму, указанную в пользовательском интерфейсе.

Как отозвать опасное одобрение TRON?

Откройте TronScan, перейдите на адрес своего кошелька → вкладка «Одобрение», найдите контракт с плательщиком и отмените или обнулите разрешение. Подтвердите транзакцию отзыва в своем кошельке.

###Могу ли я быть слит после отключения кошелька от сайта?

Да. Одобрения сохраняются в цепочке до тех пор, пока не будут отозваны. Отключение только останавливает новые запросы подписи с этого сайта.

Одобрение TRX работает таким же образом?

TRX является родным, а не TRC-20 — он не использует approve. Дрейнеры нацелены на активы TRC-20, такие как USDT, USDD, и токены проектов. Вы по-прежнему подписываете переводы TRX напрямую.

Безопасны ли сертификаты SunSwap?

Официальный маршрутизатор SunSwap в законном домене sun.io широко используется. Риск возникает из-за фишинговых сайтов, выдающих себя за SunSwap, а не из-за одобрения реального контракта, когда вы проверили URL-адрес и адрес контракта.

Контрольный список устранения неполадок

Если что-то пойдет не так на TRON, отнеситесь к этому как к проблеме структурированной отладки: подтвердите точный txid в цепочке, проверьте адрес целевого контракта и только затем решите, можно ли устранить сбой. В TRON многие «загадочные» проблемы — это просто одна из следующих: неправильная сеть (основная сеть или тестовая сеть), неправильный контракт токена (поддельный USDT / токены с одинаковым названием), недостаточность ресурсов (OUT_OF_ENERGY / пропускная способность) или задержка пользовательского интерфейса/индексатора между кошельком и проводником.

Начните с этих цепочек проверок:

• Всегда копируйте полный txid/хэш из своего кошелька или проводника.
• Подтвердите статус результата отправки на TronScan (SUCCESS, REVERT, OUT_OF_ENERGY или все еще в ожидании).
• Проверьте, соответствует ли адрес получателя/договора тому, что вы намеревались отправить.
• Если это вызов контракта, убедитесь, что селектор функций и параметры соответствуют стандарту токена, который, по вашему мнению, вы используете (TRC-20 vs TRC-10 vs BEP-20 на BSC).

Затем примените путь исправления для вашей категории:

• Подтвердите статус и параметры транзакции.
• Проверка адресов (контракт токена, получатель, маршрутизатор/отправитель).
• Добавляйте или делегируйте ресурсы (энергию/пропускную способность), если сбой связан с ресурсами.

Распространенные ошибки

Эти шаблоны вызывают большинство сбоев на уровне пользователя:

• Использование адресов основной сети в тестовой сети (или наоборот).
• Копирование символа токена вместо фактического адреса контракта TRC-20.
• Подписание неправильного адреса одобрения/платежа, поскольку ссылка пользовательского интерфейса является вредоносной или устаревшей.
• Повторная попытка без изменения ошибочного ввода (например, REVERT продолжает возвращаться до тех пор, пока вы не исправите параметр).

Если вы не уверены, не «просто отправьте еще раз». Внесите одно контролируемое изменение, проверьте на TronScan, затем продолжайте.

Часто задаваемые вопросы

Как узнать, действительно ли транзакция подтверждена?

Используйте TronScan и проверьте статус результата передачи. Ярлыки кошелька «ожидающие» могут отставать; Статус цепочки является источником истины. Скопируйте txid и проверьте SUCCESS/REVERT/OUT_OF_ENERGY, а не только текст пользовательского интерфейса.

Почему пользовательский интерфейс отличается от TronScan?

Некоторые кошельки и децентрализованные приложения используют разные индексаторы или уровни кэша. Короткая задержка между трансляцией и индексированием является нормальной; сравните txid и подождите, пока цепочка стабилизируется, прежде чем сделать вывод об ошибке.

Что мне делать после REVERT?Остановитесь и декодируйте неудачный вызов. Большинство ошибок REVERT вызваны неверными параметрами, неправильным адресом контракта, отсутствием утверждений или несоответствием между стандартом токена и методом. Устраните причину и подпишите заново.

Безопасно ли подписывать неограниченное разрешение?

Неограниченное одобрение безопасно только для проверенных вами адресов доверенных отправителей (проверенный источник, правильный маршрутизатор и ожидаемый контракт токена). Для тестирования отдавайте предпочтение ограниченному утверждению и отзыву после завершения.

Какие ресурсы требуются TRON для вызовов по контракту?

Выполнение смарт-контракта в основном потребляет энергию, а байты транзакций потребляют пропускную способность. Если вы получили OUT_OF_ENERGY, добавьте/заморозьте/делегируйте Энергию. Если полоса пропускания исчерпана, сосредоточьтесь на сохранении достаточного количества TRX для байтов и распределения ресурсов.

Как я могу уменьшить количество обращений в службу поддержки?

Покажите пользователям четкое сообщение «что произошло» на основе статуса цепочки и дайте прямую ссылку на соответствующее руководство (ожидание, сбой, отсутствие энергии или проверка). Сохраните txid, чтобы можно было быстро выполнить согласование.