승인 사기Approval Scam
토큰 사용 승인이나 악성 서명을 유도해 자산 이동 권한을 악용하는 수법입니다.
이렇게도 부릅니다 — 어프루브 사기, 토큰 권한 사기, 무제한 승인
지갑 연결만으로 토큰을 이동할 권한이 생기지는 않습니다. 사용자가 별도로 승인하거나 특정 권한을 부여하는 서명을 하면 그 범위에서 자산 이동이 가능해질 수 있습니다. 연결 해제와 기존 승인 취소도 별개입니다.
실제 진행 방식
- 에어드랍, 이벤트, 에너지 대여 등을 내세워 사이트로 유인합니다
- 지갑 연결을 요구합니다
- 서명 창이 뜨는데, 내용이 낯선 영문이라 대충 승인합니다
- 당장은 아무 일도 없습니다
- 잔액이 쌓인 어느 시점에 한 번에 빠져나갑니다
시간차를 두기 때문에 어느 사이트 때문인지 특정하기도 어렵습니다.
예방
- 서명 창의 내용을 읽습니다. 권한 수량이 무제한이면 거부하거나 필요한 만큼으로 줄입니다
- 처음 보는 사이트에 주 지갑을 연결하지 않습니다. 소액 지갑을 따로 두는 방법이 있습니다
- 쓰지 않는 사이트의 승인은 주기적으로 취소합니다