Разрешения токенов: как проверить и отозвать доступ к кошельку в 2027 году

Что такое разрешение токена

В Ethereum и похожих сетях токены вроде USDT, USDC или DAI живут внутри смарт-контрактов. Чтобы биржа, мост или другой сервис на смарт-контрактах мог забрать токены с вашего адреса, вы сначала подписываете разрешение (approve): записываете в контракт токена, что такой-то адрес вправе потратить столько-то ваших монет.

У разрешения три свойства, из-за которых о нём потом жалеют:

• Оно не истекает. Запись действует, пока вы её не измените, хоть через три года.
• Оно часто безлимитное. Сайты просят разрешение на максимально возможную сумму, чтобы не спрашивать снова. Кошелёк показывает это как «без ограничений».
• Оно не связано с сайтом. Кнопка «отключить сайт» в кошельке убирает только соединение. Разрешение записано в блокчейне и остаётся в силе.

У монет самой сети разрешений нет: ETH, BTC или TRX нельзя потратить по чужому approve. Риск касается токенов: USDT в сетях Ethereum, TRON и BNB Chain, USDC, обёрнутых монет, NFT.

Чем опасны старые разрешения

Пока разрешение действует, контракт может забрать токены без новой подписи. Отсюда два сценария кражи:

1. Вы сами подписали разрешение мошеннику. Поддельный сайт раздачи токенов, «проверка кошелька», фальшивая поддержка. Подпись выглядит безобидно, а даёт право вывести всё.
2. Взломали честный сервис. Разрешение вы когда-то выдали настоящему протоколу, потом в его контракте нашли уязвимость, и ваши токены ушли вместе с чужими.

Аппаратный кошелёк тут не защищает: подпись вы поставили сами, а дальше контракт действует без вас. Не помогает и сильный пароль.

Масштаб виден по отчётам Scam Sniffer. За 2025 год через фишинговые подписи украли около $83,85 млн у 106 106 жертв. Это на 83% меньше, чем годом раньше, но крупные кражи никуда не делись: в случаях дороже $1 млн на подписи Permit и Permit2 пришлось 38% потерь. В январе 2026 года 4 741 жертва потеряла $6,27 млн, причём 65% суммы пришлось на двух человек. А в июле 2026 года один пользователь лишился 999 999 USDT после единственного подписанного разрешения.

Кражи со старых адресов часто идут вместе с другими приёмами, например с отравлением адресов, когда USDT уводят одной «пылью». Если токены нужны вам в другой сети или в другой монете, проще не подключать кошелёк к неизвестным сайтам вовсе, а воспользоваться обменом криптовалюты без регистрации: там вы отправляете монеты на адрес и ничего не подписываете.

Какие бывают разрешения

Две строки стоит пояснить. Подписи Permit не видны в блокчейне до той секунды, пока мошенник их не использует, поэтому проверка разрешений их не покажет. Делегирование EIP-7702 появилось в Ethereum после обновления Pectra в мае 2025 года: адрес обычного кошелька может вести себя как смарт-контракт, пока владелец не снимет делегирование. Первую кражу через такую подпись Scam Sniffer зафиксировал 24 мая 2025 года, пользователь потерял около $146 600.

Как проверить разрешения кошелька

Адрес кошелька публичный, поэтому посмотреть его разрешения можно без подключения и без подписей. Основные инструменты:

• Обозреватель сети. У Etherscan есть раздел Token Approvals, такие же разделы есть в обозревателях BNB Chain, Polygon, Arbitrum и других сетей. Для TRON разрешения показывает Tronscan на странице адреса.
• Revoke.cash. Сервис показывает разрешения сразу по десяткам сетей и умеет отзывать.
• Сам кошелёк. В Rabby есть раздел Approvals, похожий список разрешений есть и у MetaMask.

Порядок простой:

1. Откройте инструмент по адресу, набранному руками или из своих закладок. Поддельные «сервисы отзыва» из рекламы и поиска сами выманивают разрешения.
2. Вставьте адрес кошелька в строку поиска, не подключая кошелёк.
3. Посмотрите список: токен, кому выдано разрешение, на какую сумму и когда.
4. Отметьте безлимитные разрешения, незнакомые адреса и сервисы, которыми вы больше не пользуетесь.
5. Повторите для каждой сети, где у адреса есть токены: разрешения в Ethereum и в BNB Chain хранятся отдельно.

Как отозвать разрешение пошагово

Отзыв записывается в блокчейн такой же транзакцией, как и само разрешение, только с лимитом ноль. Поэтому здесь кошелёк подключить придётся.

1. На странице проверки подключите кошелёк и убедитесь, что выбрана нужная сеть.
2. Нажмите Revoke напротив лишнего разрешения.
3. Проверьте в кошельке, что транзакция снимает доступ: ставит лимит 0 у токена или отменяет разрешение на коллекцию NFT, а не выдаёт новое.
4. Подтвердите и дождитесь включения в блок. Как убедиться, что транзакция прошла, описано в гайде о том, как проверить транзакцию по TXID.
5. Обновите список: строка должна исчезнуть.

Что нужно знать заранее:

• Отзыв стоит комиссию. Каждое разрешение отзывается отдельной транзакцией. В Ethereum при спокойной сети это центы, при загруженной выходит дороже. На адресе должно быть немного ETH, BNB или TRX на комиссию.
• Сначала дорогое. Начинайте с безлимитных разрешений на токены, которых у вас много.
• Отзыв не возвращает украденное. Он только закрывает доступ к тому, что ещё осталось.
• Лимит можно уменьшить, а не обнулить. Если сервисом вы пользуетесь, выставьте сумму под ближайшую операцию. У USDT в Ethereum это две транзакции: сначала ноль, потом новая сумма.

Когда отзыв не поможет

Отзыв разрешений закрывает один конкретный путь. В трёх случаях он бесполезен.

Утекла seed-фраза. Тот, у кого есть фраза, подпишет что угодно сам. Нужен новый кошелёк с новой фразой и перевод всех монет туда. Так сейчас поступают покупатели кошельков с закладкой: мы писали, как Trezor сократил реселлеров, а MediaMarkt остановил продажи Ledger.

Подписано делегирование EIP-7702. Пока оно действует, чужой код может распоряжаться всем адресом, включая ETH. Делегирование нужно сбросить, а если кошелёк не даёт это сделать, перевести активы на новый адрес.

Токены уже ушли. Транзакции в блокчейне необратимы. Остаётся сообщить в полицию и эмитенту: Tether и Circle иногда замораживают украденные USDT и USDC, но гарантий нет.

Как не выдавать лишних разрешений

• Ставьте в кошельке точную сумму вместо «без ограничений»: MetaMask и Rabby позволяют поменять лимит перед подписью.
• Держите основную сумму на адресе, который никогда не подключается к сайтам, а для экспериментов заведите отдельный.
• Читайте, что подписываете. Слова Permit, Permit2, setApprovalForAll или запрос на делегирование в окне подписи означают доступ к активам, а не «вход на сайт».
• Пользуйтесь кошельком или расширением, которое моделирует транзакцию и показывает, что уйдёт с адреса.
• Проверяйте разрешения раз в несколько месяцев и после каждого громкого взлома сервиса, которым вы пользовались.

Как обменять ETH и токены без подключения кошелька

Большая часть разрешений появляется там, где обмен устроен на смарт-контрактах: сайт просит подключить кошелёк и подписать approve. Есть способ поменять монеты без единого разрешения.

В VertEXchange кошелёк не подключается и подписывать ничего не нужно. Вы выбираете пару, указываете адрес получения и отправляете монеты обычным переводом на адрес, который покажет форма. Аккаунт, почта и телефон не нужны, курс и сумма видны до отправки. Так можно обменять эфир на биткоин без регистрации, перевести USDT из ERC20 в TRC20 или купить Monero за USDT TRC20.

• После обмена на вашем адресе не остаётся разрешений: вы сделали обычный перевод.
• Фиксированный курс держится около 15 минут.
• VertEXchange не хранит монеты: выплата идёт сразу на ваш адрес.
• Если обмен не состоится, монеты вернутся на адрес возврата.
• Персональные поля операции удаляются через 24 часа после завершения, чат поддержки есть на каждой странице.

Частые вопросы

Как отозвать разрешения токенов в 2027 году?

Откройте раздел Token Approvals в обозревателе своей сети или сервис Revoke.cash, вставьте адрес, найдите лишнее разрешение и нажмите Revoke. Кошелёк попросит подтвердить транзакцию и заплатить комиссию сети.

Сколько стоит отзыв разрешения?

Только комиссию сети за одну транзакцию. В Ethereum при спокойной сети это центы, в BNB Chain и на сетях второго уровня ещё меньше. Сами сервисы проверки за отзыв денег не берут.

Достаточно ли отключить сайт в кошельке?

Нет. Отключение убирает соединение сайта с кошельком, а разрешение записано в контракте токена и продолжает действовать. Его снимает только транзакция отзыва.

Могут ли украсть токены с аппаратного кошелька через разрешение?

Да. Аппаратный кошелёк защищает ключи, но разрешение вы подписываете сами. После этого контракт выводит токены без новой подписи.

Есть ли разрешения у биткоина и Monero?

Нет. В Bitcoin и Monero нет токенов со смарт-контрактами и нет механизма approve. Потратить монеты можно только подписью владельца ключей.

Как понять, что разрешение опасно?

Насторожить должны безлимитная сумма, незнакомый адрес получателя, сервис, которым вы давно не пользуетесь, и любое разрешение, которое вы не помните. Такое лучше отозвать: при необходимости его легко выдать заново.

Вернёт ли отзыв украденные токены?

Нет. Отзыв закрывает доступ к оставшимся токенам. Вернуть уже выведенное можно только через заморозку эмитентом или расследование, и получается это редко.