Словарь раздач токенов: Илья Завьялов о словах, за которыми прячется разрешение

Подключить и подписать это разные слова

Подключение кошелька к сайту показывает сайту ваш публичный адрес и больше ничего. Переместить оно ничего не может, и если считать опасным именно его, то настоящий опасный шаг останется без внимания.

Полномочия переходят на подписи. Подпись это указание, которое кошелёк выполняет, и кошелёк не предупредит, что указание скверное: с его точки зрения вы сами об этом попросили.

Схема держится на том, что в голове у читателя эти два действия сливаются. Если подключение и подпись ощущаются как одно действие под названием начать, опасная половина проходит без разбора.

Четыре слова, которые передают деньги

Approve, setApprovalForAll, Permit и Permit2 на обычном языке означают одно и то же: теперь кто-то другой может забирать названный актив из вашего кошелька, не спрашивая повторно.

Ни пароля, ни входа на биржу, ни секретной фразы для этого не требуется. Принять это труднее всего, потому что все прочитанные раньше предупреждения были именно про фразу.

Слово all в setApprovalForAll работает всерьёз. Оно покрывает целую коллекцию, а не одну позицию, и действует, пока разрешение не отозвано руками.

Масштаб промышленный. На одну известную связку приходится более 215 миллионов долларов за всё время работы, 200 тысяч пострадавших в 28 сетях, причём 80 процентов выручки уходило партнёрам, которые просто приводили трафик.

Газ, комиссия сети и активация

Газ это плата, которую сеть берёт за обработку операции. Она уходит сети и никогда человеку, и заплатить её сайту или сотруднику поддержки невозможно.

Любая формулировка про плату за активацию, взнос за разблокировку, депозит за проверку или пополнение газа на чей-то адрес описывает то, чего в протоколе не существует.

Настоящее получение стоит газа, который ваш кошелёк платит сети. Платёж человеку в обмен на бесплатные токены это вся схема, произнесённая вслух.

Получить, разблокировать, подтвердить

Получение это настоящий механизм, и именно поэтому оно работает приманкой. Настоящие раздачи существуют, о них объявляет сам проект, и они никогда не приходят первым делом личным сообщением со ссылкой.

У слов разблокировать и подтвердить твёрдого технического значения нет. Это слова интерфейса, и в мошенническом сценарии ими подписан тот экран, где запрашивают подпись разрешения.

Полезная привычка это читать сам запрос подписи, а не страницу вокруг. Страница это оформленный текст. Запрос это то, что действительно выполнится.

Делегирование это самое свежее слово в этом семействе. Первый задокументированный случай с пакетной операцией стоил владельцу около 147 тысяч долларов за одно подтверждение, май 2025 года.

Что говорят числа о направлении

Потери резко упали, и это не то утешение, каким выглядит. Итог 2025 года в 83,85 миллиона долларов на 83 процента ниже 494 миллионов, записанных за 2024 год, а число пострадавших снизилось на 68 процентов.

Когда потери падают быстрее числа людей, средняя потеря на человека растёт. Ловят меньше, а берут с каждого больше, и обычно это признак более точного прицела, а не отступления.

Активность идёт за рынком. Худшим кварталом 2025 года стал третий, 31 миллион долларов, во время самого сильного роста за год: внимание и оптимизм это то сырьё, с которым работают эти слова.