Безопасность
July 12, 2023

Не торопитесь отзывать аппрувы

Основано на материалах треда: @Revoke.cash и @blanker.eth

Revoke.cash получили сообщения о том, что люди видят неизвестные транзакции аппрувов. Оказалось, это новая афера, в которой мошенники используют так называемые газовые токены для кражи денег в тот момент, когда жертвы пытаются отозвать поддельные аппрувы.

Многие из этих аппрувов не отображались в Revoke, поскольку они были отфильтрованы на основе эвристики, однако некоторые всегда ускользают. Поэтому, чтобы бороться с этим мошенничеством, была добавлена проверку, которая отключает отзыв утверждений, если есть чрезмерная плата за газ.

Пример фейкового аппрува:

А вот как выглядит уведомление от кошелька Zerion:

Как видите, злоумышленники используют названия популярных монет и выглядит это достаточно правдоподобно.

К счастью, комиссия за попытку отзыва такого аппрува ограничена технически со стороны блокчейна. Например, при 3 Gwei вы потратите 65$:

https://bscscan.com/tx/0x7d3e1abaf857abd39e557ccb908c8273c436fd11d22f63c2791c73473bef63ad

Так как же это работает?

Несколько лет назад, когда плата за газ в Ethereum начала расти, была разработана концепция «газовых токенов». Эти токены газа использовали (или злоупотребляли) функцию EVM, которая позволяет возмещать расходы за газ при очистке хранилища. Одним из примеров является Chi Gastoken

Everything you wanted to know about Chi Gastoken

Chi позволял пользователям чеканить газовые токены, когда комиссии были низкими, и сжигать их, когда комиссии были высокими, фактически «фиксируя» более низкую комиссию. Это было непреднамеренным побочным эффектом возмещения расходов на хранение газа, и оно стало невозможным с помощью EIP-3529 еще в 2021 году.

EIP-3529: Reduction in refunds

Тем не менее, несколько EVM-блокчейнов, в том числе BNB Chain, всё ещё используют эту концепцию токенов газа, чем и пользуются мошенники. Они создали поддельные токены, которые распределили посредством эйрдропа, и создали поддельные аппрувы для этих токенов. Таким образом они вводят пользователей в заблуждение и побуждают как можно скорее отозвать аппрувы.

Мошенники запрограммировали эти поддельные токены таким образом, чтобы во время транзакции отзыва аппрува чеканилось много газовых токенов. Затем эти газовые токены отправляются мошенникам, которые могут их продать. Проблема в том, что всплывающее окно вашего кошелька не покажет, что вы отправляете средства, только неоправданно высокую комиссию.

Данные аппрувы не нужно пытаться отозвать. А если вы это уже сделали, это не повлияет на другие аппрувы, то есть всё, чем вы рискуете - оплатой высокой комиссии за отзыв аппрува.

В целях безопасности не рекомендую вам использовать готовые решения для отзыва аппрувов, такие как Revoke.cash, Rabby Wallet и т.д. Делайте это вручную через официальные эксплореры блокчейна на странице контракта:

Читайте базовый гайд по безопасности в мире криптовалют и подписывайтесь на мой канал, чтобы не пропустить полезные материалы по безопасности.