Tham gia vào không gian tài chính phi tập trung thường đòi hỏi phải cấp cho các dự án một số quyền nhất định để chi tiêu token từ ví của chính mình.
Các quyền này – được gọi là cho phép ERC-20 – giúp đơn giản hóa các quy trình tương tác hợp đồng thông minh cho phép người dùng gửi tiền vào hợp đồng trong khi đồng thời gọi một chức năng thay đổi trạng thái.
Tuy nhiên, các tác nhân độc hại có thể sử dụng khoản trợ cấp này để rút tiền từ một nhà giao dịch không nghi ngờ. Để hiểu vectơ rủi ro này, có lẽ điều quan trọng là phải giải thích cách hoạt động của phép cho phép ERC-20.
Khi lần đầu tiên tương tác với một dự án DeFi mới, các nhà giao dịch cần cho phép ứng dụng phi tập trung quyền truy cập để chi tiêu tiền – thường là Ether (ETH) hoặc một loại tiền ổn định như Tether (USDT) – từ ví của họ.
Khoản trợ cấp này thường không giới hạn để loại bỏ sự cần thiết của các bước phê duyệt trong tương lai của nhà giao dịch khi thực hiện các giao dịch tiếp theo. Trong điều kiện hoạt động bình thường, dự án DeFi sẽ chỉ chi tiêu số tiền xác định do nhà giao dịch đặt ra.
Tuy nhiên, các điều kiện hoạt động bất thường có thể xuất hiện như đã thấy trong nhiều trường hợp trong không gian DeFi. Các lỗi hợp đồng thông minh như loại mà Bancor mắc phải vào tháng 6 năm 2020 có thể làm lộ lỗ hổng này và rút tiền từ ví của người dùng.
Trong cơn cuồng loạn DeFi 2020, những kẻ lừa đảo cũng đã khai thác lỗ hổng này để đánh cắp tiền từ các nhà giao dịch không nghi ngờ. Một ví dụ như vậy là UniCats nơi các nhà phát triển dự án tự đánh cắp mã thông báo Uniswap (UNI) từ người dùng của họ.
Một phương pháp hữu ích mà các nhà giao dịch có thể áp dụng là xem xét các khoản phụ cấp hiện có trên ví của họ. Các nền tảng như revoke.cash và Managed.zone có thể được sử dụng để xác định các khoản phụ cấp ERC được liên kết với một địa chỉ cũng như các tùy chọn để thu hồi hoặc giảm các khoản phụ cấp đó.
Một phương pháp khác có thể được sử dụng là trong giai đoạn tương tác đầu tiên ban đầu, nơi thay vì không giới hạn, các nhà giao dịch có thể chọn giới hạn chi tiêu tùy chỉnh trên ví MetaMask của họ khi chấp thuận giới hạn chi tiêu cho các mã thông báo mới.
Với ERC-20 là tiêu chuẩn thực tế cho không gian DeFi, người dùng vẫn sẽ phải đối mặt với rủi ro cho phép không giới hạn. Tuy nhiên, các nhà giao dịch có thể áp dụng các phương pháp hữu ích này để giảm thiểu những nguy hiểm liên quan đến lỗ hổng tiềm ẩn này.
.
