Словник роздач токенів: Ілля Зав'ялов про слова, за якими ховається дозвіл
Майже ніщо в шахрайській пропозиції токенів не є брехнею у звичайному сенсі. Слова технічно точні й дібрані так, щоб небезпечний крок читався як формальність. Підключити, підтвердити, активувати, отримати, розблокувати: у кожного є точне значення в блокчейні, і лише одна родина з них передає розпорядження грошима. Втрати від такого фішингу за 2025 рік склали 83,85 мільйона доларів у 106 106 осіб у мережах із віртуальною машиною Ethereum. Нижче короткий словник тих слів, які вирішують, розкладений за тим, що кожне з них насправді дозволяє.
Словник роздач токенів: Ілля Зав'ялов про слова, за якими ховається дозвілПідключення розкриває адресу. Підпис виконує вказівку.
Підключити і підписати це різні слова
Підключення гаманця до сайта показує сайтові вашу публічну адресу і більше нічого. Перемістити воно нічого не може, і якщо вважати небезпечним саме його, то справжній небезпечний крок лишиться без уваги.
Повноваження переходять на підписі. Підпис це вказівка, яку гаманець виконує, і гаманець не попередить, що вказівка кепська: з його погляду ви самі про це попросили.
Схема тримається на тому, що в голові читача ці дві дії зливаються. Якщо підключення і підпис відчуваються як одна дія під назвою почати, небезпечна половина проходить без розбору.
Чотири слова, які передають гроші
Approve, setApprovalForAll, Permit і Permit2 звичайною мовою означають те саме: тепер хтось інший може забирати названий актив із вашого гаманця, не питаючи вдруге.
Ні пароля, ні входу на біржу, ні таємної фрази для цього не потрібно. Прийняти це найважче, бо всі прочитані раніше попередження були саме про фразу.
Слово all у setApprovalForAll працює всерйоз. Воно покриває цілу колекцію, а не одну позицію, і діє, поки дозвіл не відкликано руками.
Масштаб промисловий. На одну відому зв'язку припадає понад 215 мільйонів доларів за весь час роботи, 200 тисяч постраждалих у 28 мережах, причому 80 відсотків виручки йшло партнерам, які просто приводили відвідувачів.
Газ, комісія мережі та активація
Газ це плата, яку мережа бере за обробку операції. Вона йде мережі й ніколи людині, і заплатити її сайтові чи працівникові підтримки неможливо.
Будь-яке формулювання про плату за активацію, внесок за розблокування, депозит за перевірку чи поповнення газу на чиюсь адресу описує те, чого в протоколі не існує.
Справжнє отримання коштує газу, який ваш гаманець платить мережі. Платіж людині в обмін на безкоштовні токени це вся схема, вимовлена вголос.
Отримати, розблокувати, підтвердити
Отримання це справжній механізм, і саме тому воно працює принадою. Справжні роздачі існують, про них оголошує сам проєкт, і вони ніколи не приходять насамперед особистим повідомленням із посиланням.
У слів розблокувати і підтвердити твердого технічного значення немає. Це слова інтерфейсу, і в шахрайському сценарії ними підписано той екран, де просять підпис дозволу.
Корисна звичка це читати сам запит підпису, а не сторінку довкола. Сторінка це оформлений текст. Запит це те, що справді виконається.
Делегування це найсвіжіше слово в цій родині. Перший задокументований випадок із пакетною операцією коштував власникові близько 147 тисяч доларів за одне підтвердження, травень 2025 року.
Що кажуть числа про напрямок
Втрати різко впали, і це не та втіха, якою виглядає. Підсумок 2025 року в 83,85 мільйона доларів на 83 відсотки нижчий за 494 мільйони, записані за 2024 рік, а кількість постраждалих знизилася на 68 відсотків.
Коли втрати падають швидше за кількість людей, середня втрата на людину зростає. Ловлять менше, а беруть із кожного більше, і зазвичай це ознака точнішого прицілу, а не відступу.
Активність іде за ринком. Найгіршим кварталом 2025 року став третій, 31 мільйон доларів, під час найсильнішого зростання за рік: увага й оптимізм це та сировина, з якою працюють ці слова.
Втрати впали швидше за кількість постраждалих, тому середня втрата зросла.
Слово на екрані, що воно означає технічно і що воно дозволяє зробити
Слово
Що воно означає
Що воно дозволяє
Підключити гаманець
Сайт бачить вашу публічну адресу
Саме по собі не переміщує нічого
Підписати повідомлення
Гаманець виконує вказівку
Залежить цілком від самої вказівки
Approve
Дозвіл витрачати один актив
Забирати цей актив, не питаючи знову
setApprovalForAll
Дозвіл на цілу колекцію
Забирати будь-яку позицію з неї до відкликання
Permit і Permit2
Дозвіл, виданий підписом
Те саме без окремої операції
Газ або комісія мережі
Плата мережі за обробку
Нічого, і людині вона не платиться
Плата за активацію
У протоколі такого немає
Платіж тій операції, що тримає сторінку
Делегування
Ваша адреса діє через інший контракт
Пакет дій в одному підтвердженні
Три безневинні кроки і один вирішальний, подані як єдиний процес.
Питання і відповіді
Чи небезпечно підключати гаманець до сайта?
Саме по собі ні. Підключення показує сайтові вашу публічну адресу. Значення має підпис, який попросять далі, і якщо вважати небезпечним підключення, то справжня небезпечна мить проходить непоміченою.
У мене не просили таємної фрази. Отже, все гаразд?
Ні. Цей розряд працює цілком на підписах. Approve, setApprovalForAll, Permit і Permit2 переміщують активи без жодного пароля, входу на біржу і таємної фрази.
Навіщо безкоштовна роздача просить заплатити?
Вона б і не просила. Справжнє отримання коштує лише газу, який платить мережі ваш гаманець. Плата за активацію, внесок за розблокування чи депозит за перевірку і є сама схема.
Чи всі роздачі шахрайські?
Ні, і тому принада працює. Справжні роздачі оголошує сам проєкт через свої опубліковані канали, і вони не приходять насамперед особистим повідомленням із доданим посиланням.
Втрати за 2025 рік сильно впали. Чи проблема йде?
Не надто. Втрати знизилися на 83 відсотки, а кількість постраждалих на 68, тобто середня втрата на людину зросла. Менше цілей, кожна дорожча, це зміна методу, а не відступ.