Web3 explicada: compreenda o que a sua carteira lhe pede para autorizar
Web3 descreve aplicações que usam blockchains, carteiras e protocolos partilhados em algumas funções, como trocas de tokens, propriedade de colecionáveis e governação comunitária. Não é outra internet à qual tenha de aderir. O rótulo não torna uma aplicação descentralizada, privada ou segura. A questão é o que controla e o que ainda depende de um operador.
A sua tarefa: distinguir ligação da carteira, assinatura e autorização de tokens antes de decidir se um pedido corresponde à sua intenção.
Três camadas de uma aplicação Web3
O site é uma interface
Uma página apresenta informações e propõe ações. Domínio, alojamento, resultado de pesquisa e apoio podem ser controlados por uma empresa ou comprometidos. Um ecrã familiar não prova que está a usar o contrato certo. Ler informações ou consultar um endereço público não deve exigir a frase de recuperação.
A carteira gere a sua autoridade
A carteira gere chaves e pede autorização para ações. Uma ligação simples partilha normalmente informações públicas de contas selecionadas; por si só, não permite gastar tokens. Leia cada pedido, pois as carteiras também suportam permissões avançadas. Endereços e históricos públicos são visíveis em cadeias públicas mesmo sem ligação a um site.
Os contratos aplicam as regras
Um contrato inteligente executa regras programadas numa blockchain. Tokens podem representar saldos, votos ou acesso, mas nem toda a aplicação útil precisa de token próprio. Verifique se um administrador pode atualizar, suspender ou alterar o contrato. Interfaces, fornecedores de dados e serviços de nós alojados podem continuar centralizados apesar da liquidação numa blockchain.
Examine um pedido em três passos
Verifique destino e rede
Comece num endereço do projeto verificado de forma independente, não numa mensagem inesperada ou anúncio patrocinado. Confira rede, conta e destino do contrato na carteira. O símbolo do ativo não chega para identificar o contrato. Leia a ação antes de ligar uma conta com ativos valiosos.
Identifique o que autoriza
Uma assinatura de mensagem pode iniciar sessão, mas outras assinaturas autorizam ordens ou gastos de tokens. Não haver gas não significa ausência de risco. Uma aprovação ou permit pode dar a um terceiro específico acesso a um token específico. Uma transação pode mover fundos ou alterar o estado da cadeia. Se a ação não for legível ou não a souber explicar, pare em vez de assinar sem compreender.
Limite o âmbito e confirme depois
Numa autorização suportada, examine token, entidade autorizada e montante, limitando a permissão à tarefa quando possível. Verifique o gas separadamente. Após a transação, consulte estado e alterações reais de tokens na carteira ou explorador. Desligar o site remove a ligação, mas não revoga automaticamente uma autorização de gasto restante.
Exemplo: o pagamento não é o limite da autorização
Pretende usar 25 unidades de um TOKEN fictício. A carteira pede antes autorização para um contrato gastar 10.000 TOKEN. Isso permite até 400 vezes o montante pretendido, não é um recibo de pagamento de 25 tokens. Uma autorização normal aplica-se àquele token, entidade e rede, podendo expor futuros depósitos enquanto vigorar. Verifique primeiro a entidade autorizada e reduza o limite para 25 se o processo permitir, ou rejeite. Um limite inferior restringe o montante exposto por essa permissão, mas não prova a fiabilidade do contrato. A compra ou depósito é uma ação separada, salvo combinação explícita dos passos pela aplicação.
Erros que criam risco desnecessário
Tratar a assinatura como um início de sessão inofensivo
Leia domínio, objetivo, âmbito dos tokens e validade quando apresentados. Algumas assinaturas fora da cadeia podem autorizar ações futuras na cadeia. Uma assinatura gratuita não é necessariamente uma mensagem inofensiva. Nunca aprove apenas porque uma conta que se diz apoio afirma que isso desbloqueará fundos.
Confundir propriedade com acesso garantido
Possuir um token não garante que o seu site, ficheiro de imagem ou mercado continue disponível. Tokens de governação não dão controlo efetivo automaticamente se os votos estiverem concentrados ou um administrador puder contrariar decisões. Pergunte o que está na cadeia, o que depende de servidores externos e quem pode alterar cada parte.
Pensar que desligar é revogar
Desligar um site e revogar uma autorização são operações diferentes. Reveja permissões numa carteira ou explorador de confiança, na rede correta. A revogação on-chain geralmente exige gas e altera permissões futuras; não recupera ativos já transferidos. Não use ligações aleatórias de “limpeza de carteira” que lhe enviem.
Exercício: avalie o pedido
Quer depositar 20 TOKEN. Um site solicita autorização para 5.000 TOKEN e diz que desligar a carteira depois elimina a permissão. O que está errado e o que deve verificar antes de avançar?
Mostrar a explicação
A autorização é 250 vezes o depósito previsto. Desligar não a revoga. Verifique site, rede, contrato do token, entidade autorizada e âmbito. Use um limite menor adequado se suportado, ou rejeite. Confirme o depósito separadamente e reveja permissões restantes. Nem uma transação bem-sucedida nem uma autorização limitada provam a segurança da aplicação.
