การจัดการการอนุญาตใช้โทเคน

ประเด็นสำคัญ

• การอนุญาตใช้โทเคนคือสิทธิ์ที่มอบให้ smart contracts ในการใช้จ่ายโทเคนจากกระเป๋าเงินโดยไม่ต้องขออนุมัติซ้ำ

• มิจฉาชีพสามารถใช้ประโยชน์จากมันได้หากผู้ใช้ไม่รู้ตัวว่ามีสิทธิ์นี้อยู่

• เครื่องมืออย่าง Revoke.cash ช่วยให้ผู้ใช้ตรวจสอบและยกเลิกการอนุญาตใช้โทเคนได้ง่าย ๆ

บทนำ

DeFi มอบอำนาจควบคุมสินทรัพย์ให้ผู้ใช้ รวมถึง private keys ของตัวเอง ให้อธิปไตยและอำนาจเหนือเงินของตัวเองอย่างที่ไม่เคยมีมาก่อน แต่เมื่อมีอำนาจมากขึ้น ความรับผิดชอบก็มากขึ้นตามไปด้วย ผู้ใช้ต้องดูแลความปลอดภัยและจัดการสินทรัพย์ของตัวเองอย่างเต็มที่

กลโกงที่ผู้ใช้ DeFi ควรรู้จักมี 4 ประเภทหลัก:

• Seed Phrase ถูกขโมย: ผู้โจมตีพยายามหลอกให้ผู้ใช้เปิดเผย Seed Phrase ซึ่งจะทำให้เข้าถึงเงินได้โดยไม่ได้รับอนุญาต เมื่อมี Seed Phrase ผู้โจมตีสามารถกวาดเงินทั้งหมดของคุณและทำซ้ำได้เรื่อย ๆ หากคุณฝากเงินเพิ่มเข้ากระเป๋าเงินนั้นอีก น่าเสียดายที่ไม่มีทางกู้คืนจากสถานการณ์นี้ได้ ทางออกเดียวคือสร้างกระเป๋าเงินใหม่ทั้งหมดด้วย seed phrase ชุดใหม่

• การโอน ETH โดยตรง: มิจฉาชีพอาจซ่อนการโอน ETH โดยปลอมเป็นการเรียกใช้ฟังก์ชัน เช่น "Security Update" วิธีลายเซ็นดิบที่ใช้ในกลโกงรุ่นเก่าถูกถอดออกจาก MetaMask แล้ว ชุดฟิชชิ่งยุคใหม่จึงหันมาใช้คำขอลายเซ็นที่ดูปกติแทน โดยหวังให้คุณเซ็นโดยไม่อ่านสิ่งที่กระเป๋าเงินแสดง หากตกเป็นเหยื่อกลโกงนี้ คุณจะกู้คืนเงินไม่ได้ แต่ยังใช้กระเป๋าเงินเดิมทำธุรกรรมอื่นได้อย่างปลอดภัย

• รายการขายบน NFT Marketplace: ระวังรายการปลอมและสัญญาที่เป็นอันตรายซึ่งใช้ประโยชน์จากสิทธิ์ที่คุณให้กับมาร์เก็ตเพลสอย่าง OpenSea มิจฉาชีพอาจหลอกให้คุณเซ็นข้อความ offchain ที่นำ NFTs ของคุณไปลงขายโดยไม่มีการทำธุรกรรมจริงเกิดขึ้นเลย

• การอนุญาตใช้โทเคน: ผู้โจมตีอาจปั่นสิทธิ์ให้เข้าถึงเงินได้มากกว่าที่คุณอนุมัติไว้แต่แรก "Approvals" คือธุรกรรมออนเชนที่ให้สิทธิ์เข้าถึงโทเคนหรือ NFT ของคุณ ส่วน "Permits" ให้สิทธิ์แบบเดียวกันแต่ใช้แค่ลายเซ็นออฟเชนที่ไม่เสียค่า Gas Uniswap และแอปเทรดยุคใหม่ส่วนใหญ่ใช้ระบบนี้ (เรียกว่า Permit2) ลายเซ็น Permit จะไม่ปรากฏเป็น Approval บนเชนจนกว่าจะถูกใช้งาน และอาจมีวันหมดอายุด้วย มุมมอง "Signatures" ของ Revoke.cash ช่วยให้คุณตรวจสอบและยกเลิกได้

  เมื่อสัญญาอัจฉริยะได้รับความนิยมมากขึ้น token allowances ก็จำเป็นเพื่อให้สัญญาที่ไว้ใจได้ทำธุรกรรมได้โดยไม่ต้องเปิดเผยคีย์ส่วนตัว การอนุญาตใช้โทเคนทำให้ dApp ย้ายโทเคนในกระเป๋าเงินของคุณแทนคุณได้โดยอัตโนมัติ ความสะดวกนี้เพิ่มประสิทธิภาพ แต่ก็เปิดช่องให้ผู้ใช้เสี่ยงต่อกลโกงและการเข้าถึงโดยไม่ได้รับอนุญาตเช่นกัน

ในบทความนี้ เราจะพูดถึง "การอนุญาตใช้โทเคน" และแนะนำเครื่องมือจากชุมชนที่สร้างมาเพื่อช่วยจัดการสิทธิ์เหล่านี้

การอนุญาตใช้โทเคน: ทำความเข้าใจ จัดการ และรักษาความปลอดภัย

การอนุญาตใช้โทเคนคือสิทธิ์ที่มอบไว้ล่วงหน้าให้สัญญาอัจฉริยะใช้จ่ายโทเคนจากกระเป๋าเงิน มีบทบาทสำคัญในการทำธุรกรรมโดยไม่ต้องขออนุมัติทุกครั้งสำหรับการโอนสินทรัพย์โดยตรงจากกระเป๋าเงิน แต่หากถูกใช้ในทางที่ผิด การอนุญาตใช้โทเคนก็กลายเป็นช่องโหว่ให้ผู้ที่ไม่ทันระวังตัวได้ เพื่อลดความเสี่ยงนี้ ผู้ใช้ DeFi ควรระมัดระวัง ศึกษาความรู้ด้านความปลอดภัย และเข้าใจว่าการอนุญาตใช้โทเคนทำงานอย่างไรจริง ๆ

การให้สิทธิ์แก่สัญญาของบุคคลที่สามมี 2 ขั้นตอน:

1. เชื่อมต่อกระเป๋าเงิน: เมื่อเชื่อมกระเป๋าเงินกับ dApp คุณแค่แชร์ address กระเป๋าเงินให้ฝั่งหน้าเว็บ เพื่อให้แสดงยอดเงินและกิจกรรมของคุณ การเชื่อมต่ออย่างเดียวไม่ได้ให้สิทธิ์บนเชนใด ๆ

2. อนุมัติโทเคน: เมื่อจะทำธุรกรรมกับ dApp คุณจึงอนุมัติให้สัญญาอัจฉริยะย้ายโทเคนที่กำหนดแทนคุณ นี่คือขั้นตอนที่มอบอำนาจใช้จ่ายจริง

การจัดการการอนุญาตใช้โทเคนอย่างเชิงรุกช่วยให้ผู้ใช้มั่นใจได้ว่าไม่มีสัญญาใดถอนเงินเกินจำนวนที่กำหนดไว้แต่แรกจากกระเป๋าเงินของตน โชคดีที่มีเครื่องมือจากชุมชนที่สร้างมาเพื่อให้ผู้ใช้ DeFi มั่นใจและสบายใจได้

ขั้นตอนการใช้งาน: การใช้ Revoke.cash

Revoke.cash ช่วยให้ผู้ใช้จัดการการอนุญาตใช้โทเคนได้ง่าย ๆ ผ่านเว็บไซต์ที่ช่วยตรวจสอบและติดตามสิทธิ์ที่มอบให้ dApp ต่าง ๆ มาดูขั้นตอนการใช้เครื่องมือชุมชนที่ทรงพลังนี้เพื่อปกป้องสินทรัพย์และทวงคืนอำนาจควบคุมกระเป๋าเงินของคุณกัน

1. เชื่อมต่อกระเป๋าเงิน:

เริ่มขั้นตอนการยกเลิกการอนุญาตใช้โทเคนด้วยการเข้า Revoke.cash แล้วคลิก "Connect Wallet" มุมขวาบน หรือจะพิมพ์ที่อยู่สาธารณะของกระเป๋าเงินลงในช่องค้นหาเองก็ได้ เมื่อโหลดเสร็จ คุณจะเห็นรายการ token approvals ทั้งหมดของคุณบนเครือข่ายนั้น

2. ตรวจสอบการอนุญาตของคุณ:

เมื่อเชื่อมต่อกระเป๋าเงินแล้ว คุณสามารถตรวจสอบ Approval ที่มีอยู่ได้ เรียงลำดับ กรอง หรือค้นหา Approval ตามที่อยู่ผู้รับสิทธิ์ก็ได้ การเรียงจาก "ใหม่ไปเก่า" มีประโยชน์มากหากคุณสงสัยว่าเพิ่งมี Approval ที่เป็นอันตรายเกิดขึ้น ใช้ตัวเรียงลำดับและตัวกรองเพื่อดูภาพรวมของการอนุญาตใช้โทเคนที่คุณเคยให้ไว้ การอนุญาตแยกตามแต่ละเชน จึงต้องเปลี่ยนเครือข่ายเพื่อตรวจสอบซ้ำในทุกเครือข่ายที่คุณใช้

3. ยกเลิกการอนุญาตที่ไม่ต้องการ:

เมื่อพบ Approval ที่ต้องการยกเลิก แค่คลิกปุ่ม "Revoke" ข้าง ๆ Approval นั้นได้เลย หรือหากยังต้องการ Approval นั้นในอนาคตแต่อยากลดความเสี่ยง ก็สามารถคลิกไอคอนดินสอข้างจำนวนที่อนุมัติเพื่อปรับจำนวนแทนได้

การยกเลิกหรือปรับการอนุญาตใช้โทเคนอาจเป็นประโยชน์กับคุณหาก:

1. สัญญาอัจฉริยะที่เพิ่งเปิดตัวถูกโจมตีจนเกิดช่องโหว่ใน decentralized exchange ที่คุณใช้ประจำ

   ในเดือนเมษายน 2023 DEX ชื่อดังอย่าง SushiSwap ถูกโจมตีลักษณะเดียวกัน สูญเงินผู้ใช้ไปราว 3.5 ล้านดอลลาร์ ผู้ใช้ที่ยังไม่ได้ยกเลิกการอนุญาตใช้โทเคนยังคงเสี่ยงอยู่

2. ข้อเสนอกำกับดูแลที่เป็นอันตรายอัปเดตสัญญาหลายฉบับโดยตั้งใจกวาดเงินผู้ใช้

   สินทรัพย์กว่า 2.5 ล้านดอลลาร์ถูกขโมยเมื่อ Atlantis Loans โปรโตคอล DeFi บนเครือข่าย BNB ดำเนินตามข้อเสนอกำกับดูแลที่พุ่งเป้าไปที่สัญญาหลายฉบับ ผู้ใช้ที่จำกัดวงเงิน Approval ไว้ช่วยลดความเสี่ยงที่กระเป๋าเงินจะถูกกวาดเงินหมดจากข้อเสนอที่เป็นอันตรายนี้

อย่าลืมเรื่องการมอบสิทธิ์

นับตั้งแต่การอัปเกรด Pectra ของ Ethereum (พฤษภาคม 2025) การอนุญาตไม่ใช่สิทธิ์เดียวที่ควรตรวจสอบอีกต่อไป ฟีเจอร์กระเป๋าเงินใหม่ (EIP-7702) ให้กระเป๋าเงินของคุณมอบสิทธิ์ไปยังโค้ดเพิ่มเติมได้ เปิดทางความสะดวกอย่างการรวมธุรกรรมเป็นชุด แต่ก็เปิดทางกลโกงแบบใหม่ด้วย ลายเซ็นที่เป็นอันตรายเพียงครั้งเดียวสามารถติดตั้งโค้ด "sweeper" ที่โอนทุกอย่างที่คุณฝากเข้าไปยังผู้โจมตีทันที โดยไม่ต้องเปิดเผย Seed Phrase เลย ในปี 2025 นักวิจัยจาก Wintermute พบว่ากว่า 97% ของการมอบสิทธิ์กระเป๋าเงินยุคแรกชี้ไปที่โค้ด Sweeper ตัวเดียวกัน

Revoke.cash แสดงการมอบสิทธิ์ที่เปิดใช้งานอยู่ของคุณในแท็บ "Delegations" แต่เนื่องจากการมอบสิทธิ์ถูกควบคุมโดยกระเป๋าเงินของคุณเอง ไม่ใช่โดย dApp คุณจึงต้องยกเลิกการมอบสิทธิ์ที่ไม่ต้องการจากในกระเป๋าเงินของคุณเอง ใน MetaMask ให้เปิดรายละเอียดบัญชีแล้วเปลี่ยนบัญชีกลับเป็นบัญชีมาตรฐาน หากคุณไม่เคยเลือกอัปเกรดเป็น smart account ให้ถือว่าการมอบสิทธิ์ใด ๆ ที่พบเป็นภัยไว้ก่อน

ถึงเวลาเสริมความแข็งแกร่งให้แนวป้องกันของกระเป๋าเงินเราแล้ว! หวังว่าคุณจะชอบเนื้อหาชุดนี้ใน Explorer's Handbook: "การจัดการการอนุญาตใช้โทเคน"

อย่าลืมเก็บเนื้อหานี้ไว้หากอยากมีสำเนาไว้อ้างอิงสะดวก ๆ ระหว่างการเดินทาง หรือเพื่อสนับสนุนเนื้อหาในอนาคตของ Bankless Academy ขอให้เดินทางปลอดภัย นักสำรวจ!

FAQ

ควรใช้ Revoke.cash เมื่อไหร่?

ใช้ Revoke.cash เป็นระยะ ๆ โดยเฉพาะช่วงที่ไม่ได้ใช้งาน dApp นั้นอยู่ โดยเฉพาะมาร์เก็ตเพลส NFT การจำกัด Approval ช่วยลดความเสี่ยงที่จะสูญเงินจากการแฮก การถูกเจาะช่องโหว่ หรือกลโกงฟิชชิ่ง การเรียง Approval ให้แสดงล่าสุดก่อนช่วยให้คุณสังเกตเห็น Approval ที่น่าสงสัยและยกเลิกได้ทันที ลดความเสียหายที่จะตามมา

การตัดการเชื่อมต่อกระเป๋าเงินช่วยป้องกันการโจมตีจาก Approval ไหม?

การตัดการเชื่อมต่อกระเป๋าเงินจาก dApp ไม่ได้ปกป้องคุณจากการโจมตีใด ๆ ไม่ว่าจะผ่าน Approval หรือไม่ก็ตาม Approval ที่คุณเคยให้ไว้ก่อนหน้ายังคงทำงานอยู่แม้ตัดการเชื่อมต่อแล้ว เพราะถูกเก็บไว้บนเชน

ป้องกันการโจมตีจากการอนุญาตใช้โทเคนและความเสี่ยงคล้ายกันได้อย่างไร?

แนวทางเชิงรุกในการจัดการการอนุญาตใช้โทเคนมีดังนี้:

• มอบสิทธิ์ให้เฉพาะ dApp ที่ไว้ใจได้เท่านั้น

• ตรวจสอบการอนุญาตใช้โทเคนอย่างสม่ำเสมอ

• ลบการอนุญาตที่ไม่จำเป็นหรือน่าสงสัยออก

• ตรวจสอบการมอบสิทธิ์กระเป๋าเงินที่คุณไม่รู้จัก

• ติดตามข่าวอัปเดตความปลอดภัยของ dApp อยู่เสมอ

ลองใช้เครื่องมือจากบุคคลที่สามอย่าง ส่วนขยายเบราว์เซอร์ ของ Revoke.cash ซึ่งทำหน้าที่เป็นมาตรการเชิงรุกป้องกันภัยคุกคาม ส่วนขยายนี้จะเตือนคุณหากกำลังจะเซ็นสิ่งที่อาจเป็นอันตราย ช่วยปกป้องคุณจากกลโกงฟิชชิ่งและกิจกรรมที่เป็นอันตรายอื่น ๆ

กู้คืนเงินด้วย Revoke.cash ได้ไหม?

น่าเสียดายที่ Revoke.cash กู้คืนเงินที่ถูกขโมยไม่ได้ มันเป็นเพียงเครื่องมือป้องกันเพื่อลดโอกาสตกเป็นเหยื่อของการโจมตีจาก Approval แต่การยกเลิก Approval ที่ถูกใช้ขโมยเงินไปยังช่วยป้องกันการขโมยซ้ำได้

ทำไมกระเป๋าเงินของฉันถึงถูกกวาดเงินทุกครั้งที่เติมเงินเข้าไป?

กระเป๋าเงินของคุณอาจมี "sweeper bot" สคริปต์ที่คอยจับตากระเป๋าเงินที่ถูกแฮกและโอนเงินที่ฝากเข้าใหม่ออกไปอย่างรวดเร็วก่อนคุณจะทำอะไรได้ทัน สาเหตุหนึ่งคือ Seed Phrase ถูกขโมย ในกรณีนี้การยกเลิก Approval ไม่ช่วยอะไร ต้องเลิกใช้กระเป๋าเงินนั้นและสร้างใหม่ แต่การมอบสิทธิ์กระเป๋าเงินที่เป็นอันตรายก็เป็นสาเหตุที่พบได้พอ ๆ กัน คือโค้ด Sweeper ถูกติดตั้งผ่านลายเซ็นที่คุณถูกหลอกให้เซ็น โดย Seed Phrase ไม่รั่วไหลเลย ตรวจแท็บ "Delegations" บน Revoke.cash หากพบการมอบสิทธิ์ที่คุณไม่รู้จัก ให้ยกเลิกจากในกระเป๋าเงินของคุณเอง (เช่น ผ่านรายละเอียดบัญชีของ MetaMask) หากไม่มีการมอบสิทธิ์ใดแต่ยังถูกกวาดเงินต่อไป ให้สันนิษฐานว่า Seed Phrase ของคุณรั่วไหลแล้ว และย้ายไปใช้กระเป๋าเงินใหม่

ผู้เขียน

Marcus เป็นผู้จัดทำจดหมายข่าว ENS DAO เขาศึกษาว่ารายได้ส่วนเกินจากค่าธรรมเนียมโปรโตคอลจะนำมาสนับสนุนการพัฒนาชั้นแอปพลิเคชันและโครงสร้างพื้นฐานโอเพนซอร์สอื่น ๆ ได้อย่างไร

บรรณาธิการ

Tetranome คือ Project Champion ของ Bankless Academy ดูแลด้านประสบการณ์ผู้ใช้ UI การออกแบบ และเนื้อหาของแพลตฟอร์ม

Trewkat เป็นนักเขียนและบรรณาธิการที่ BanklessDAO สนใจศึกษาเรื่องคริปโตและ NFT ให้มากที่สุดเท่าที่จะทำได้ โดยเฉพาะวิธีสื่อสารความรู้เหล่านี้ให้ผู้อื่นเข้าใจได้ดีที่สุด

ผู้สนับสนุน

บทความนี้ไม่มีผู้สนับสนุน เป็นส่วนหนึ่งของการศึกษาฟรีจาก Bankless Academy เก็บบทความนี้ไว้เพื่อสนับสนุนเนื้อหาในอนาคต!