Để rà soát lịch sử cấp quyền của ví, hãy kiểm tra hạn mức chi tiêu token, quyền operator NFT, chữ ký cấp quyền và các tương tác hợp đồng gần đây trên mọi mạng bạn từng dùng. Danh sách giao dịch đơn thuần chưa đủ, vì một quyền phê duyệt cũ có thể vẫn hoạt động dù chưa hề chuyển tiền.
Hiểu các thành phần khác nhau#
“Kết nối” ví được lưu trong trình duyệt không giống quyền on-chain. Ngắt kết nối website chỉ xóa phiên cục bộ, trong khi allowance token và quyền operator vẫn nằm trong trạng thái hợp đồng thông minh cho đến khi được thay đổi bằng giao dịch mới.
Những cái bẫy thường gặp#
- Chỉ kiểm tra Ethereum mainnet. Cùng một địa chỉ có thể đã cấp quyền trên nhiều mạng EVM, sidechain hoặc mạng lớp 2; bỏ sót một mạng nghĩa là quyền cũ vẫn tồn tại ở đó.
- Cho rằng số dư token bằng 0 khiến quyền phê duyệt vĩnh viễn vô hại. Token có thể quay lại địa chỉ trong tương lai và bên được cấp quyền vẫn có khả năng chi tiêu nếu allowance chưa bị thu hồi.
- Ký lệnh thu hồi hàng loạt mà không đọc từng hành động. Công cụ lạ có thể trộn thêm giao dịch hoặc chữ ký khác; cần xác minh từng hợp đồng, mạng lưới và quyền trước khi xác nhận.
- Dùng công cụ kiểm tra quyền từ liên kết quảng cáo. Thương hiệu có thể bị sao chép; hãy mở trình khám phá hoặc công cụ từ tài liệu chính thức đã xác minh.
Những sai lầm này có cùng một mẫu: tốc độ hoặc cảm giác quen thuộc thay cho xác minh. Hãy chậm lại đúng lúc quyền kiểm soát, tiền hoặc chữ ký không thể đảo ngược sắp được trao đi.
Thực hiện theo trình tự có kiểm soát#
- Liệt kê mọi mạng mà địa chỉ đang hoặc từng nắm giữ tài sản. Dùng lịch sử của ví, trình khám phá đa chuỗi và ghi chú cá nhân; bao gồm cả mạng thử nghiệm hay lớp 2 nếu từng ký giao dịch ở đó.
- Mở công cụ kiểm tra approval đã xác minh cho từng mạng. Tự đi từ trình khám phá hoặc tài liệu chính thức và kiểm tra kỹ URL trước khi kết nối ví.
- Rà soát bên được chi tiêu token, hạn mức và operator NFT. Ưu tiên quyền không giới hạn, hợp đồng không nhận ra, quyền trên bộ sưu tập giá trị và ứng dụng bạn không còn dùng.
- Đối chiếu hợp đồng lạ với giao dịch cũ và nhãn đã xác minh. Tên hiển thị có thể sai hoặc thiếu; dùng địa chỉ hợp đồng, giao dịch tạo quyền và tài liệu dự án để nhận diện.
- Thu hồi quyền đã cũ và xác nhận từng giao dịch on-chain. Đợi giao dịch được xác nhận, tải lại dữ liệu từ trình khám phá rồi kiểm tra allowance hoặc quyền operator đã thực sự thay đổi.
Khung ra quyết định#
Ưu tiên bên chi tiêu không rõ, hạn mức không giới hạn, hợp đồng có thể nâng cấp và quyền bao trùm bộ sưu tập giá trị. Hãy giữ nhật ký kiểm tra có ngày để lần sau có thể thấy quyền nào mới xuất hiện.
Xác minh lần cuối#
Đừng chỉ tin thông báo thu hồi thành công trên giao diện. Hãy dùng bằng chứng có thể kiểm tra sau khi đóng trang.
| Điểm kiểm tra | Bằng chứng | Điều kiện phải dừng |
|---|---|---|
| Liệt kê mọi mạng nơi địa chỉ đang hoặc từng có tài sản | Nhật ký có ngày và bản ghi on-chain đã che dữ liệu nhạy cảm | Chỉ kiểm tra Ethereum mainnet |
| Mở công cụ kiểm tra quyền đã xác minh cho từng mạng | URL chính xác khớp tài liệu chính thức | Cho rằng số dư bằng 0 làm quyền cũ vô hại mãi mãi |
| Rà soát bên chi tiêu, hạn mức và operator NFT | Địa chỉ hợp đồng, mạng và quyền khớp bản ghi on-chain | Ký thu hồi hàng loạt mà không đọc từng hành động |
Hãy giữ mã giao dịch, địa chỉ hợp đồng hoặc ảnh chụp có ngày nếu chúng giúp ghi nhận lịch sử cấp quyền, nhưng phải loại bỏ cụm từ khôi phục, khóa riêng tư và mã xác thực.
Câu hỏi thường gặp#
Tôi có thể xem mọi chữ ký off-chain không?
Không. Không phải thông điệp đã ký nào cũng được công bố. Một số ứng dụng có công cụ hủy lệnh, nhưng lịch sử chữ ký vẫn có thể không đầy đủ.
Thu hồi quyền có tốn gas không?
Có. Thay đổi allowance hoặc cài đặt operator on-chain thường yêu cầu một giao dịch mạng lưới và phí gas tương ứng.
Thu hồi quyền có làm dapp ngừng hoạt động không?
Lần tiếp theo sử dụng, dapp có thể yêu cầu bạn cấp quyền mới. Đây thường là đánh đổi bảo mật hợp lý, nhất là với ứng dụng không dùng thường xuyên.
Hướng dẫn liên quan#
Nguồn tham khảo#
- Ethereum.org: Bảo mật hợp đồng thông minh
- OWASP: 10 rủi ro hàng đầu của hợp đồng thông minh
- Uniswap Support: Quyền phê duyệt token
Cảnh báo rủi ro: Giao dịch crypto có thể không thể đảo ngược. Không bao giờ chia sẻ cụm từ khôi phục, khóa riêng tư, mật khẩu hoặc mã xác thực; luôn tự kiểm tra tên miền và yêu cầu từ ví qua một kênh độc lập.
Tiêu chuẩn biên tập
Bài viết mang tính giáo dục và dựa trên nguồn đáng tin cậy. Biện pháp bảo mật, quy định của sàn và yêu cầu pháp lý có thể thay đổi; hãy kiểm tra nguồn chính thức trước khi hành động.
