До approve нового swap-контракта проверьте исходный код, адрес развёртывания, права владельца, ограничения переводов и реальную возможность продажи. Используйте крошечный тест, но помните: контракт может по-разному обрабатывать адреса и суммы либо изменяться через proxy.
Пошаговый процесс#
- Сопоставьте адрес с официальной документацией. Сохраните источник и дату, затем проверьте дату развёртывания и создателя в обозревателе. Адрес из ответа в соцсети не считается официальным.
- Проверьте верифицированный код и proxy implementation. Изучайте реальную логику, а не только оболочку proxy. Найдите администратора обновления и возможность заменить реализацию после вашей проверки.
- Просмотрите owner, blacklist, fees и pause. Эти функции могут менять продаваемость, максимальный размер и получателя комиссии. Проверьте текущие значения и полномочия владельца.
- Изучите недавние успешные покупки и продажи. Смотрите разные суммы и адреса, а не одну демонстрационную транзакцию. Сопоставляйте события токена с реальным изменением баланса.
- Ограничьте approve и тестируйте одноразовыми средствами. Используйте отдельный кошелёк и сумму, потеря которой приемлема. После теста проверьте и отзовите ненужный allowance.
Главная идея#
Вредоносный router или токен просит безлимитный approve, направляет выход атакующему либо разрешает покупки и блокирует продажи. Красивый интерфейс не показывает эти права.
Симулятор и scanner полезны как фильтр, но не видят все условия. Контракт может применять разные правила к конкретным адресам, блокам, размерам или маршрутам, а владелец — изменить параметры после проверки. Поэтому положительный результат инструмента снижает неопределённость, но не превращает новый контракт в безопасный.
Когда остановиться#
Если вы не можете определить роутер или понять его полномочия, используйте устоявшийся DEX-маршрут либо не торгуйте.
Также остановитесь, если исходный код не верифицирован, proxy ведёт на неизвестную реализацию, комиссия может быть повышена без ограничения или недавние продажи отсутствуют. Потенциальная доходность не компенсирует ситуацию, в которой невозможно установить, кто и на каких условиях контролирует выход.
Опасные ошибки#
- Доверять значку аудита без области. Отчёт может не относиться к адресу.
- Считать renounced ownership устранением proxy-control. Администратор реализации может остаться.
- Воспринимать token scanner как гарантию. Он использует ограниченные эвристики.
- Approve роутеру от промоутера токена. Получатель разрешения может быть атакующим.
Доказательства#
| Контрольная точка | Доказательство | Условие остановки |
|---|---|---|
| Сопоставить адрес | Официальная документация | Доверяют только логотипу аудита |
| Проверить proxy | Код и implementation | Renounce считают полной защитой |
| Изучить права | Owner и функции | Scanner считают гарантией |
Запишите контракты, тестовые fills, gas и allowances.
После теста проверьте фактически полученный токен, цену продажи и все внутренние переводы в обозревателе. Сравните их с предварительной котировкой. Даже успешная продажа малого объёма не оправдывает подключение основного кошелька или выдачу неограниченного разрешения.
Часто задаваемые вопросы#
Доказывает ли маленькая успешная продажа безопасность?
Нет. Правила могут зависеть от суммы, адреса, блока или будущего изменения владельцем.
Что такое honeypot?
Токен, позволяющий вход, но запрещающий или сильно облагающий выход.
Верифицированный код означает безопасность?
Нет. Он лишь совпадает с развёртыванием; сама логика может быть вредоносной.
Связанные руководства#
Источники#
- Поддержка Uniswap: обмены и устранение неполадок
- Ethereum.org: газ и комиссии
- MetaMask: транзакции и газ
Предупреждение о риске: Тест и scanner не гарантируют безопасность изменяемого или адресно-зависимого контракта.
Редакционный стандарт
Материал носит образовательный характер и основан на источниках. Меры безопасности, правила бирж и правовые требования могут меняться — проверяйте важные шаги по официальным данным.
