Web3 förklarat: förstå vad din plånbok ombeds göra
Web3 beskriver appar som använder blockkedjor, plånböcker och gemensamma protokoll för delar av sina funktioner. Exempel är tokenbyten, ägande av samlarobjekt och gemensam styrning. Det är inget separat internet du måste ansluta dig till, och beteckningen Web3 gör inte en app decentraliserad, privat eller säker. Den viktiga frågan är vilka delar du kontrollerar och vilka som fortfarande beror på en operatör.
Din uppgift: skilj mellan plånboksanslutning, signatur och tokenbehörighet innan du avgör om appens begäran motsvarar det du vill göra.
Tre lager bakom en Web3-app
Webbplatsen är ett gränssnitt
En webbsida visar information och föreslår åtgärder. Domän, drift, sökresultat och supportkanaler kan kontrolleras av ett företag eller kapas. Ett välbekant utseende bevisar inte att du använder rätt kontrakt. Att läsa information eller kontrollera en offentlig adress ska inte kräva din återställningsfras.
Plånboken hanterar din behörighet
Plånboken hanterar nycklar och ber dig godkänna åtgärder. En vanlig anslutning delar normalt utvald offentlig kontoinformation; den ger inte i sig rätt att spendera token. Läs varje behörighetsbegäran, eftersom plånböcker också stöder mer avancerade rättigheter. Offentliga adresser och transaktionshistorik syns på publika kedjor även om du aldrig ansluter till en webbplats.
Kontrakt tillämpar reglerna
Ett smart kontrakt utför programmerade regler på en blockkedja. Token kan representera saldon, rösträtt eller tillgång till tjänster, men varje användbar app behöver inte en egen token. Kontrollera om en administratör kan uppgradera, pausa eller ändra kontraktet. Gränssnitt, dataleverantörer och externa nodtjänster kan vara centraliserade även när avvecklingen sker på en blockkedja.
Granska en begäran i tre steg
Kontrollera destination och nätverk
Utgå från en projektadress som du verifierat oberoende, inte ett oväntat meddelande eller sponsrat sökresultat. Kontrollera nätverk, konto och kontraktsdestination i plånboken. Tillgångens ticker räcker inte för att identifiera kontraktet. Läs den föreslagna åtgärden innan du ansluter ett konto med värdefulla tillgångar.
Identifiera vad du godkänner
En meddelandesignatur kan logga in dig, men andra signaturer kan godkänna order eller tokenutgifter. Ingen gasavgift betyder inte ingen risk. Ett godkännande eller permit kan ge en bestämd spenderare tillgång till en viss token. En transaktion kan flytta pengar eller ändra tillstånd på kedjan. Om åtgärden inte visas begripligt eller du inte kan förklara den, avbryt i stället för att signera blint.
Granska omfattningen och kontrollera efteråt
För en tokenbehörighet som stöds: kontrollera token, spenderare och belopp, och begränsa behörigheten till uppgiften när det är praktiskt möjligt. Kontrollera beräknad gas separat. Granska transaktionens status och faktiska tokenförändringar i plånboken eller blockutforskaren. Att koppla bort webbplatsen tar bort anslutningen, men återkallar inte automatiskt en kvarvarande tokenbehörighet.
Exempel: betalningen är inte samma sak som behörighetsgränsen
Du vill använda 25 enheter av en påhittad TOKEN i en app. Plånboken ber i stället om godkännande att ett spenderarkontrakt får använda 10 000 TOKEN. Det är tillåtelse för upp till 400 gånger det avsedda beloppet, inte ett kvitto på en betalning av 25 token. En vanlig tokenbehörighet gäller denna token och spenderare på detta nätverk och kan exponera framtida insättningar så länge den gäller. Verifiera spenderaren först och sänk sedan gränsen till 25 om flödet stöder det, eller avslå. En lägre gräns begränsar beloppet som riskeras genom behörigheten men bevisar inte att kontraktet är pålitligt. Köpet eller insättningen är en separat åtgärd om appen inte uttryckligen kombinerar stegen.
Misstag som skapar onödig risk
Att se signaturen som en ofarlig inloggning
Läs domän, syfte, vilka token som omfattas och eventuell sluttid. Vissa signaturer utanför kedjan kan användas senare för att godkänna åtgärder på kedjan. En gratis signatur är inte alltid ett ofarligt meddelande. Godkänn aldrig bara för att någon som påstår sig vara support säger att det krävs för att låsa upp pengar.
Att förväxla ägande med garanterad tillgång
Att äga en token garanterar inte att dess webbplats, bildfil eller marknadsplats finns kvar. Styrningstoken ger inte automatiskt verkligt inflytande om rösterna är koncentrerade eller en administratör kan åsidosätta beslut. Fråga vad som lagras på kedjan, vad som kräver externa servrar och vem som får ändra respektive del.
Att tro att bortkoppling återkallar behörigheter
Att koppla bort en webbplats och återkalla en tokenbehörighet är olika saker. Granska behörigheter via en betrodd plånbok eller blockutforskare på rätt nätverk. Återkallelse på kedjan kräver vanligtvis gas och ändrar framtida behörighet, men återställer inte redan överförda tillgångar. Använd inte en slumpmässig länk till en ”plånboksrensare” som någon skickar.
Öva: bedöm begäran
Du vill sätta in 20 TOKEN. En webbplats begär behörighet för 5 000 TOKEN och säger att en bortkoppling efteråt tar bort tillåtelsen. Vad är fel i förklaringen, och vad bör du kontrollera innan du fortsätter?
Visa förklaringen
Behörigheten är 250 gånger den tänkta insättningen. Bortkoppling återkallar den inte. Kontrollera webbplats, nätverk, tokenkontrakt och spenderare. Granska behörigheten och använd en lämplig lägre gräns om det stöds, eller avslå. Bekräfta insättningen separat och granska kvarvarande behörigheter efteråt. Varken en lyckad transaktion eller en begränsad behörighet bevisar att appen är säker.
