Beaucoup de pertes en crypto ne surviennent pas au moment o\u00f9 l’on se fait arnaquer. Elles surviennent plus tard, discr\u00e8tement, par une permission que vous avez accord\u00e9e puis oubli\u00e9e. Cette permission s’appelle une approbation de token (token approval), et la comprendre est l’une des comp\u00e9tences de s\u00e9curit\u00e9 les plus utiles que vous puissiez acqu\u00e9rir.<\/p>\n
Pour autoriser une application \u00e0 d\u00e9placer vos tokens en votre nom, vous lui accordez une approbation\u00a0: la permission de d\u00e9penser un certain token depuis votre wallet. C’est normal et n\u00e9cessaire pour de nombreux usages l\u00e9gitimes. Le danger, c’est que ces approbations peuvent \u00eatre fix\u00e9es \u00e0 des montants illimit\u00e9s et rester actives ind\u00e9finiment. Un contrat malveillant ou compromis d\u00e9tenant une telle approbation peut vider ce token quand bon lui semble, longtemps apr\u00e8s votre derni\u00e8re interaction avec lui.<\/p>\n
En utilisant un site, souvent faux ou malveillant, on vous invite \u00e0 approuver un token. La demande peut \u00eatre d\u00e9guis\u00e9e en \u00e9tape de routine servant \u00e0 \u00ab\u00a0activer\u00a0\u00bb une r\u00e9clamation, un \u00e9change ou une r\u00e9compense.<\/p>\n
L’approbation est fr\u00e9quemment fix\u00e9e \u00e0 un plafond de d\u00e9pense illimit\u00e9, ce qui est pratique pour les vraies applications mais catastrophique avec une application malveillante. Vous la signez en croyant simplement d\u00e9bloquer une fonctionnalit\u00e9.<\/p>\n
Rien de spectaculaire ne se produit imm\u00e9diatement, et c’est pr\u00e9cis\u00e9ment ce qui rend la situation si dangereuse. La permission reste simplement dans votre wallet, active et oubli\u00e9e.<\/p>\n
Au moment choisi par l’attaquant, parfois lorsque votre solde est au plus haut, le contrat utilise l’approbation toujours en vigueur pour transf\u00e9rer vos tokens vers l’ext\u00e9rieur. Comme vous avez autoris\u00e9 cette permission auparavant, le transfert est valide on-chain.<\/p>\n
Avant de signer une approbation, arr\u00eatez-vous et lisez-la. Demandez-vous si l’action que vous effectuez a r\u00e9ellement besoin de la permission de d\u00e9penser ce token, et m\u00e9fiez-vous des plafonds illimit\u00e9s. Lorsque votre wallet le permet, fixez un montant pr\u00e9cis et limit\u00e9 plut\u00f4t que d’accorder un acc\u00e8s illimit\u00e9. N’approuvez de tokens que sur des applications que vous avez v\u00e9rifi\u00e9es et auxquelles vous acc\u00e9dez par vos propres favoris.<\/p>\n
Tout aussi important\u00a0: passez r\u00e9guli\u00e8rement vos approbations en revue et faites le m\u00e9nage. Utilisez un outil de gestion des approbations reconnu, comme revoke.cash, pour voir toutes les permissions accord\u00e9es par votre adresse, puis r\u00e9voquez celles que vous ne reconnaissez pas, que vous n’utilisez plus ou que vous n’aviez jamais eu l’intention de laisser illimit\u00e9es. R\u00e9voquer est une transaction on-chain ordinaire, qui co\u00fbte de petits frais de gas, et elle referme la porte par laquelle un contrat malveillant passerait autrement. Faites de cette revue une habitude de routine, et non une simple r\u00e9action d’urgence.<\/p>\n
Ce qui rend les approbations si dangereuses, c’est le d\u00e9calage dans le temps entre l’erreur et la perte. Avec la plupart des arnaques, le dommage est imm\u00e9diat, si bien que le lien de cause \u00e0 effet saute aux yeux. Avec une approbation malveillante, vous pouvez la signer aujourd’hui et ne rien voir d’anormal pendant des semaines, jusqu’\u00e0 ce que les fonds disparaissent au pire moment. Ce d\u00e9lai berce les gens dans l’illusion qu’ils s’en sont sortis parce que rien ne s’est produit tout de suite. Consid\u00e9rez une approbation sign\u00e9e comme une porte laiss\u00e9e ouverte, et non comme un cambriolage \u00e9vit\u00e9. L’absence de vol imm\u00e9diat n’est pas une preuve de s\u00e9curit\u00e9\u00a0: cela peut simplement signifier que l’attaquant attend que votre solde grossisse avant de franchir la porte que vous avez laiss\u00e9e ouverte.<\/p>\n
Notre engagement\u00a0:<\/strong> TokenSpin ne vous demandera jamais d’approuver un token, de connecter un wallet ou d’accorder des permissions de d\u00e9pense pour r\u00e9clamer une r\u00e9compense. Si une page utilisant notre nom demande une approbation, ce n’est pas nous.<\/p>\n","protected":false},"excerpt":{"rendered":" Une seule approbation peut permettre \u00e0 un contrat de d\u00e9placer vos tokens ind\u00e9finiment. D\u00e9couvrez comment fonctionnent les approbations malveillantes, comment les rep\u00e9rer et comment r\u00e9voquer ces acc\u00e8s en toute s\u00e9curit\u00e9.<\/p>\n","protected":false},"featured_media":0,"template":"","meta":[],"class_list":["post-285","scam_alert","type-scam_alert","status-publish","hentry"],"_links":{"self":[{"href":"https:\/\/tokenspin.de.com\/fr\/wp-json\/wp\/v2\/scam_alert\/285","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/tokenspin.de.com\/fr\/wp-json\/wp\/v2\/scam_alert"}],"about":[{"href":"https:\/\/tokenspin.de.com\/fr\/wp-json\/wp\/v2\/types\/scam_alert"}],"wp:attachment":[{"href":"https:\/\/tokenspin.de.com\/fr\/wp-json\/wp\/v2\/media?parent=285"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}