Alerto sa Seguridad ng Web3 — Mga Nakakahamak na Pag-apruba

Ano ang malisyosong approval scam?

Ang mga nakakahamak na pag-apruba ay isa sa pinakalaganap, mapanganib, at nakakapinsalang mga scam sa Web3 — na nakakaapekto sa hindi mabilang na mga user.

Sa Web3, sa tuwing nakikipag-ugnayan ka sa isang matalinong kontrata, madalas kang hihilingin na magbigay ng ilang partikular na pahintulot sa pamamagitan ng pag-sign sa isang transaksyon. Kasama sa mga halimbawa ang:

● Pag-apruba sa isang DApp para ma-access ang iyong mga token (hal., aprubahan ng ERC-20)

● Pagbibigay ng pahintulot sa kontrata na ilipat ang iyong mga NFT (setApprovalForAll)

● Nagsasagawa ng mga on-chain na pagkilos na mukhang hindi nakakapinsala, tulad ng pag-login o pag-verify.

Sinasamantala ng mga nakakahamak na scam sa pag-apruba ang mga pagkilos na ito sa pamamagitan ng panlilinlang sa iyo sa pagbibigay ng pahintulot ng nakakahamak na kontrata na ilipat ang iyong mga asset.

Key features

1. Dayain ang mga user sa pagbibigay ng mga mapanganib na pahintulot

Ang mga scammer ay nagkukunwari bilang mga lehitimong proyekto ng DApp, airdrop, o NFT. Hinihikayat ka nila na i-click ang isang button na "Aprubahan", ngunit sa totoo lang, pinahihintulutan mo ang mga pagkilos tulad ng [approve] (token access) o [setApprovalForAll] (NFT access) para sa isang nakakahamak na kontrata.

2. Naubos ang iyong mga asset nang walang paglilipat

Hindi ka nagpasimula ng paglipat—na-click lang ang "Kumpirmahin." Ngunit kapag naaprubahan na ang scammer, maaari silang tumawag sa mga on-chain function upang maubos ang iyong wallet anumang oras nang hindi nangangailangan ng karagdagang pag-apruba o lagda mula sa iyo.

3. Ang mga pag-apruba ay kadalasang walang limitasyon

Karamihan sa mga kontrata ng scam ay humihiling ng pag-apruba para sa pinakamataas na posibleng halaga (2^256 - 1), na nagbibigay sa kanila ng hindi pinaghihigpitan at permanenteng access sa iyong mga asset.

4. Walang ibang ginagawa ang kontrata

Passive ang mga kontrata ng scam, hindi sila aktibong nagnanakaw ng mga pondo sa kanilang sarili. Ang lahat ay nakasalalay sa iyong kusang pagpirma sa pag-apruba, na tumutulong sa kanilang laktawan ang tradisyonal na pagtuklas ng panloloko at mga babala.

5. Mapanlinlang na signature prompt

Ang mga senyas sa pitaka para sa mga pag-apruba ay kadalasang nakakalito — alinman sa sobrang kumplikado o sobrang pinasimple — na nagpapahirap sa pagsusuri kung ano ang iyong pinipirmahan. Ipinapalagay ng karamihan sa mga user na ito ay "isang awtorisasyon lamang" at i-click ang "Kumpirmahin" nang hindi nalalaman ang seryosong panganib na kasangkot.

Mga karaniwang senaryo

1. Mga pekeng airdrop o NFT minting page

Maaaring mag-advertise ang page ng "limited-time airdrops" o "free mint" na mga promosyon. Ang pag-click sa button ay magti-trigger ng kahilingan sa pag-apruba para sa iyong USDT (Approve) o NFTs (SetApprovalForAll)—kapag naaprubahan, maaaring maubos ng mga scammer ang iyong mga asset anumang oras.

2. Mga pekeng DEX o swap platform

Ikinonekta mo ang iyong Bitget Wallet sa isang pekeng DEX at subukang ipagpalit ang USDC para sa isang bagong token. Ang site ay hindi aktwal na nagpasimula ng isang swap — dadalhin ka lang nito sa "Aprubahan ang USDC." Kapag tapos na, ang iyong mga pondo ay ninakaw gamit ang isang malisyosong kontrata.

3. Mga pekeng staking/pagsasaka o mga platform ng laro

Ipo-prompt kang "mga stake token" o "simulan ang paglalaro" sa isang DeFi/GameFi app. Humihingi ang site ng pag-apruba ng token/NFT. Ang buong platform ay isang harap para sa mga nakakahamak na kontrata na umuubos sa iyong mga asset kapag pinahintulutan.

4. Mga na-hack na frontend ng mga lehitimong proyekto

Kinokompromiso ng mga hacker ang mga pinagkakatiwalaang site ng proyekto o nang-hijack ng mga tala ng DNS, na nag-iiniksyon ng mga nakakahamak na script upang ipagpalit ang totoong kontrata sa isang phishing. Iniisip ng mga user na nakikipag-ugnayan sila sa isang legit na app — ngunit binibigyan mo talaga ng access ang mga umaatake.

5. Mga pekeng dokumento ng suporta sa customer o tulong

Humihingi ka ng tulong sa isang komunidad at nagpapadala ng link ang isang pekeng "agent ng suporta" o "serbisyo sa customer". Ang link ay humahantong sa isang pekeng pahina ng suporta na humihiling sa iyo na pahintulutan ang isang kontrata sa ilalim ng pagkukunwari ng "paglutas ng iyong isyu" — ngunit ito ay talagang isang bitag.

How it works

Ang pangunahing prinsipyo ng mga nakakahamak na pag-apruba ay maaaring ibuod sa isang pangungusap:

Sinasamantala nito ang kamangmangan ng user sa kung paano gumagana ang mga on-chain na pahintulot. Sa pamamagitan ng panlilinlang sa iyo sa pagbibigay ng mga pag-apruba, nakukuha ng mga scammer ang kontrol sa iyong mga asset at ninakaw ang mga ito nang hindi mo nalalaman.

Teknikal na mga prinsipyo

Narito ang karaniwang daloy ng trabaho ng isang nakakahamak na scam sa pag-apruba:

1. Nag-deploy ang scammer ng malisyosong kontrata (ngunit hindi ito direktang nagpapasimula ng mga paglilipat).

2. Nalinlang ang user na tawagan ang [approve] (para sa mga token) o [setApprovalForAll] (para sa mga NFT).

3. Ipinagkaloob ang pag-apruba, ngunit nananatili ang mga asset sa wallet — sa ngayon.

4. Pagkatapos ay ginagamit ng mga scammer ang [transferFrom()] o mga katulad na function upang ilipat ang mga pondo sa kanilang sariling wallet.

5. Dahil technically valid ang transaction (inaprubahan ng user), hindi ito hinaharangan ng mga wallet at blockchain.

Bitget Wallet security measures

● Mga alerto sa website ng phishing: Kung bumisita ka sa isang kahina-hinalang site, magpapakita ang Bitget Wallet ng babala upang pigilan ka sa hindi sinasadyang pag-apruba ng isang nakakahamak na kontrata.

● Naka-built-in na pagtukoy ng panganib sa kontrata: Ang Bitget Wallet ay may kasamang tool na nag-scan ng iyong mga kasalukuyang pag-apruba. Maaari mong proactive na suriin at bawiin ang mga pahintulot na may mataas na peligro o lumang panahon para mapanatiling secure ang iyong mga asset.

Pinakamahuhusay na kagawian upang protektahan ang iyong sarili

Mag-ingat sa mga pulang flag na ito upang matukoy ang mga potensyal na nakakahamak na pagtatangka sa pag-apruba:

● Walang tunay na functionality ang DApp — isang prompt lang na humihiling sa iyo na aprubahan ang isang bagay

● Humihingi ito ng access sa mga kritikal na asset (USDT, ETH, NFTs)

● Walang limitasyon ang pag-apruba (apruba (uint256 max))

● Ang signature popup ng iyong wallet ay nagpapakita ng SetApprovalForAll: true.

● Ang website ay mukhang hindi propesyonal o ginagaya ang isang kilalang proyekto

● Huwag kailanman mag-click sa mga random na link o mag-apruba ng anuman mula sa mga Telegram DM, mga tugon sa Twitter, o iba pang hindi na-verify na pinagmulan

Final thoughts

Kung hindi mo maintindihan, huwag mo itong pirmahan. Kung ito ay hindi isang kalakalan, mag-isip nang dalawang beses bago mag-click.

Para sa mga pang-araw-araw na user, ang pag-apruba sa mga pahintulot ng matalinong kontrata ay dapat gawin nang may matinding pag-iingat. Palaging magpatibay ng mindset na una sa seguridad: "pag-apruba = paglilipat ng mga pondo." Suriin at suriing muli ang bawat awtorisasyon ng kontrata bago pumirma.

Mga kaugnay na artikulo:

Web3 Security Alert - SMS Spoofing

Web3 Security Alert - Payzero

Web3 Security Alert - High-risk Tokens

Web3 Security Alert - Fake Apps

Web3 Security Alert - Fake Apps