Cara cek dan revoke approval token yang sudah tidak dipakai

Prioritas cepat: approval mana yang paling berbahaya

Kalau waktumu cuma lima menit, cari ini secara berurutan. Urutannya penilaian redaksi berdasarkan besarnya kerusakan yang bisa ditimbulkan.

1. Approval operator NFT ke alamat yang tidak kamu kenal. Mencakup satu koleksi penuh tanpa batas jumlah.
2. Allowance ERC-20 tanpa batas ke spender asing, terutama untuk stablecoin atau saldo besar.
3. Approval ke Permit2 untuk token yang sudah tidak kamu swap, karena satu approval menopang banyak sub-izin.
4. Allowance lama ke aplikasi kecil atau yang sudah mati. Kontrak yang aman saat kamu pakai bisa di-upgrade atau disusupi belakangan.

Apa sebenarnya approval itu

Token di jaringan EVM tidak berpindah hanya karena sebuah kontrak memintanya baik-baik. Kontrak hanya bisa menarik token dari alamatmu kalau sebelumnya kamu memberi tahu kontrak token bahwa itu diizinkan. Izin itulah yang disebut approval, tersimpan on-chain sebagai angka atau penanda.

Jadi untuk satu token bisa ada dua hal yang aktif bersamaan: approval langsung ke aplikasi, dan approval ke Permit2 plus sub-approval di dalam Permit2. Pemeriksaan yang baik melihat keduanya. Revoke.cash menyarankan revoke approval ke kontrak Permit2 itu sendiri kalau kamu sudah tidak memakainya, mengingat risiko phishing, dan membiarkan sub-approval yang hampir kedaluwarsa habis sendiri sambil revoke atau memperbarui yang masa berlakunya masih lama (Revoke.cash).

Kenapa approval tidak hilang sendiri

Ethereum.org menyatakan izin yang sudah diberikan tetap bisa dipakai tanpa batas waktu, dan memutus koneksi wallet dari sebuah proyek tidak menghapusnya (sumber). Penyebabnya arsitektural. Koneksi wallet adalah sesi browser; approval adalah data di dalam kontrak token. Menutup tab mengubah yang pertama, bukan yang kedua.

Dari situ muncul pola kegagalan yang khas: approval tanpa batas yang kamu berikan ke aplikasi sah dua tahun lalu, lalu kontrak aplikasi itu dieksploitasi, atau kamu menerima permintaan tiruan yang tidak kamu sadari. Ethereum.org menambahkan bahwa setelah allowance tanpa batas diberikan, platform bisa membelanjakan token itu bahkan setelah kamu memindahkan dana kembali ke wallet. Bagi pejuang airdrop yang mencoba puluhan dapp baru tiap bulan, daftar approval bisa tumbuh jauh lebih cepat dari yang disadari.

Tujuh langkah revoke approval

Langkah-langkah ini mengikuti alur Revoke.cash dan Etherscan yang dijelaskan di panduan Revoke.cash dan panduan ethereum.org, dengan tambahan pengamanan dari kami. Semuanya bisa dilakukan dari browser HP, asalkan kamu membuka situsnya lewat bookmark sendiri.

1. 1

   Pakai perangkat atau profil bersih dan alamat yang tepat

   Buka checker di profil browser tanpa ekstensi asing. Masukkan atau hubungkan alamat wallet yang dulu menandatangani approval. Mencari alamat hanya membaca data; connect wallet baru diperlukan saat mau revoke.

2. 2

   Pilih jaringannya

   Approval disimpan per chain, jadi wallet yang sama perlu dicek terpisah di setiap jaringan yang pernah dipakai. Revoke.cash mencantumkan lebih dari 80 jaringan; untuk jaringan lain, pakai block explorer chain tersebut.

3. 3

   Urutkan approval dari terbaru

   Revoke.cash menyarankan urutan ini saat mencari approval yang mencurigakan. Spender asing yang ditandatangani baru-baru ini perlu diperhatikan lebih dulu.

4. 4

   Pilah setiap approval

   Untuk setiap baris, catat token, spender, allowance, dan tanggal terakhir diperbarui. Allowance tanpa batas ke spender yang tidak bisa kamu sebutkan namanya adalah prioritas.

5. 5

   Revoke, atau turunkan jumlahnya

   Klik Revoke pada approval tersebut, atau pakai opsi edit untuk menurunkan allowance kalau aplikasinya masih kamu pakai. Keduanya butuh transaksi dan gas fee.

6. 6

   Konfirmasi di wallet lalu tunggu

   Pastikan popup wallet menampilkan panggilan approval yang mengatur allowance ke nol, lalu tunggu transaksi selesai. Lama prosesnya berbeda per jaringan.

7. 7

   Muat ulang dan pastikan

   Muat ulang checker setelah beberapa menit. Approval seharusnya hilang atau bernilai nol. Ulangi untuk setiap chain dan setiap standar token.

Revoke.cash vs pemeriksa di block explorer

Saran praktis kami: pakai yang bisa kamu buka lewat bookmark buatan sendiri. Situs revoke palsu itu ada, jadi jangan buka "alat penyelamat" dari link yang dibagikan di grup. Alat revoke yang meminta tanda tangan selain reset allowance atau perubahan penanda approval adalah tanda bahaya. Halaman Etherscan sendiri memperingatkan bahwa layanannya disediakan apa adanya dan tidak bertanggung jawab atas kerugian, jadi baca setiap popup wallet alih-alih menganggap alatnya pasti benar.

Berapa biaya revoke

Revoke adalah transaksi on-chain biasa, jadi kamu membayar gas fee. Ethereum.org menyebut waktu proses berkisar sekitar satu menit sampai beberapa menit tergantung jaringan. Kami tidak menyebut angka rupiah karena gas fee berubah mengikuti kepadatan dan jaringan. Dua hal praktis:

• Anggarkan per jaringan. Pemeriksaan di lima jaringan berarti hingga lima putaran gas fee, dan kamu butuh sedikit token native tiap jaringan di wallet.
• Prioritaskan risiko, bukan kelengkapan. Kalau gas sedang mahal, revoke dulu operator NFT dan allowance stablecoin tanpa batas, sisakan allowance receh untuk nanti.

Menurut ethereum.org, revoke tidak mengakhiri posisi staking, pool, atau lending dan tidak menghentikan reward. Kamu hanya perlu approve lagi saat memakai kontrak itu berikutnya.

Versi Solana

Solana tidak punya setApprovalForAll atau tabel allowance ala ERC-20. Setiap token account menyimpan satu delegate aktif dan satu jumlah yang didelegasikan. Meng-approve delegate baru menggantikan yang lama. Pemilik token account menandatangani approval lewat instruksi Approve atau ApproveChecked (dokumentasi Solana).

Untuk mencabutnya, instruksi Revoke menghapus delegate dan mengatur jumlah yang didelegasikan ke nol. Di Token Program, pemilik token account yang menandatangani; di Token Extension Program, delegate yang aktif juga bisa revoke (dokumentasi Solana). Kami tidak membuka dokumentasi command-line spl-token, jadi kami tidak mencantumkan sintaks perintah.

Profil risikonya berbeda. Delegate dibatasi jumlah tertentu dan hanya ada satu per token account, sehingga paparan per token terbatas. Tetapi satu approval delegate jahat untuk seluruh saldo tetap memungkinkan penyerang memindahkannya. Kerugian umum lain di Solana datang dari menandatangani transaksi yang memindahkan aset atau mengubah kepemilikan akun, yang sama sekali bukan approval dan tidak bisa di-revoke setelahnya. Lihat ekosistem Solana untuk konteks airdrop-nya. Pola penipuannya ada di panduan penipuan airdrop.

Batas kemampuan revoke

Tidak mengembalikan dana yang dicuri.

Transfer blockchain tidak bisa dibatalkan. Revoke hanya mencegah pencurian berikutnya. Waspadai "jasa pemulihan dana" yang menawarkan diri di grup; itu penipuan lanjutan.

Tidak membantu kalau private key bocor.

Kalau seseorang memegang seed phrase atau kuncimu, ia cukup menandatangani transaksi baru. Pindah ke wallet baru.

Tidak membatalkan permit yang sudah ditandatangani tapi belum dipakai, kecuali kamu bertindak.

EIP-2612 menyebut permit yang ditandatangani bisa dikirim siapa pun sampai deadline-nya, dan pemilik bisa membatalkannya dengan mengubah nonce, misalnya dengan mengirim permit lain atau memakai nonce itu sendiri. Deadline pendek membatasi paparan; deadline bernilai maksimum praktis tanpa kedaluwarsa. Alat revoke mungkin tidak menampilkan tanda tangan off-chain seperti ini, jadi anggap permit mencurigakan sebagai alasan memindahkan dana.

Berlaku per jaringan dan per standar token.

Ethereum, Base, Arbitrum, dan lainnya menyimpan approval masing-masing. Lihat Ethereum, Base, Arbitrum untuk tempat kamu mungkin aktif.

Checklist kebersihan rutin

Padukan checklist ini dengan kebiasaan di panduan burner wallet, dan jalankan skor airdrop legit sebelum menandatangani klaim berikutnya. Kalau kamu membangun riwayat aktivitas di banyak aplikasi, garap airdrop menghasilkan approval lebih cepat dari hampir kebiasaan apa pun, jadi cek lebih sering.

Ditulis dan dicek faktanya oleh Tim Redaksi airdrop.promo. Metode: cara kami verifikasi. Menemukan kesalahan? contacts@airdrop.promo. Konten edukasi, bukan saran keuangan atau pajak.