Un’approvazione illimitata permette a un contratto spender di trasferire il token autorizzato fino a un limite estremamente elevato senza chiedere una nuova allowance ogni volta. Se lo spender è malevolo o viene compromesso, ogni saldo presente e futuro di quel token può restare esposto finché l’approvazione non viene revocata.
Procedura passo passo#
- Controlla l’indirizzo dello spender, non soltanto il nome dell’app. Confronta contratto, rete e versione con la documentazione ufficiale aperta separatamente.
- Approva l’importo esatto quando l’interfaccia lo consente. Includi soltanto la quantità necessaria alla transazione prevista, evitando il valore massimo per semplice comodità.
- Usa un wallet operativo con saldo limitato. Separa risparmi e NFT dalle attività DeFi, così un’autorizzazione sbagliata non coinvolge l’intero patrimonio.
- Controlla le allowance dopo le attività una tantum. Verifica token, spender, limite e rete attraverso un explorer o uno strumento ufficiale affidabile.
- Revoca le approvazioni obsolete su ogni blockchain attiva. La revoca è una transazione on-chain, richiede gas e deve essere confermata sul registro, non soltanto nell’interfaccia.
Il concetto fondamentale#
La comodità dell’approvazione continua dopo il singolo swap. L’utente può dimenticarla mentre l’applicazione viene aggiornata, perde una chiave amministrativa o subisce un incidente al front end.
L’allowance riguarda una coppia precisa composta da proprietario, token e spender su una determinata rete. Un saldo pari a zero non la cancella: eventuali token ricevuti in futuro possono diventare spendibili dallo stesso contratto.
Quando fermarsi o cambiare strada#
Bilancia comodità e perdita massima. Approvazioni limitate ripetute possono costare più gas, ma riducono l’esposizione e creano un nuovo momento in cui verificare lo spender.
Se l’interfaccia non consente un limite ragionevole o lo spender non è verificabile, non procedere dal wallet principale. Valuta un’app alternativa o un wallet operativo finanziato soltanto con l’importo necessario.
Ripeti il controllo dopo ogni aggiornamento rilevante del protocollo.
Modalità di errore da riconoscere#
- Credere che un saldo vuoto faccia scomparire l’approvazione. L’allowance resta registrata e può applicarsi ai token ricevuti successivamente.
- Disconnettere il sito invece di revocare on-chain. La disconnessione rimuove la sessione locale, non modifica il permesso sul contratto token.
- Concedere l’allowance massima a un router non verificato. Un nome familiare può nascondere un indirizzo diverso o un contratto malevolo.
- Firmare in blocco revoche proposte da uno strumento falso. Una pagina di phishing può presentare nuove approvazioni o trasferimenti fingendo di rimuovere i permessi.
Prove da conservare#
Non considerare sufficiente il messaggio di successo. Controlla il valore dell’allowance on-chain dopo approvazione o revoca.
| Punto di controllo | Prova | Condizione di arresto |
|---|---|---|
| Indirizzo spender verificato | Contratto confrontato con documentazione ufficiale | Il saldo vuoto viene considerato una revoca |
| Importo limitato alla necessità | Allowance risultante verificata sull’explorer | Si propone di disconnettere senza revoca on-chain |
| Wallet operativo con saldo limitato | Inventario e limite massimo documentati | Il router non verificato richiede allowance massima |
Conserva hash o screenshot datati quando documentano approvazioni e revoche, ma escludi seed phrase, chiavi private e codici di autenticazione.
Domande frequenti#
Un’approvazione illimitata può spendere altri token?
Normalmente si applica allo specifico contratto token e allo spender indicato. Altri token possono però avere autorizzazioni separate che vanno controllate individualmente.
Un’approvazione scade automaticamente?
Le normali allowance ERC-20 in genere non scadono, salvo che il token o il sistema di permit implementi esplicitamente una scadenza.
Permit2 è sempre illimitato?
No. I sistemi di permit possono prevedere importi limitati e scadenze, ma l’utente deve leggere i dettagli della specifica firma prima di confermarla.
Guide correlate#
- Come revocare un’approvazione illimitata dei token
- Come controllare la cronologia delle autorizzazioni del wallet
Fonti#
- Ethereum.org: sicurezza degli smart contract
- OWASP: dieci principali rischi degli smart contract
- Supporto Uniswap: approvazioni dei token
Avvertenza sui rischi: Le operazioni crypto possono essere irreversibili. Non condividere seed phrase, chiavi private, password o codici di autenticazione e verifica separatamente ogni dominio e richiesta del wallet.
Standard editoriale
Questa guida è educativa e basata su fonti. Misure di sicurezza, regole degli exchange e requisiti legali possono cambiare: verifica i passaggi importanti sulle fonti ufficiali.
