Ta’rif
Approval exploit — bu xavfsizlik xavfi turi bo‘lib, unda hujumchi token approval yoki allowance mexanizmlaridan foydalanib, jabrlanuvchining aktivlarini qo‘shimcha roziliksiz harakatlantiradi. Odatda bu holat smart contract yoki interfeys foydalanuvchini haddan tashqari katta yoki xavfli allowance berishga undaganda yuzaga keladi, hujumchi esa keyinchalik bu ruxsatlarni zararli yoki buzilgan contractlar orqali ishga soladi. Bunday exploit odatda token standartining o‘zini buzmaydi, balki tokenning approval mantiqiga kiritilgan qonuniy avtorizatsiya modelini suiiste’mol qiladi. Natijada, mablag‘larning o‘tkazilishi zanjirda (on-chain) texnik jihatdan yaroqli bo‘ladi, lekin foydalanuvchining xavfsizlik va vakolat doirasi haqidagi kutganlariga zid keladi.
Bu xavf token allowance holatlari qanday saqlanishi va smart contractlar tomonidan qanday chaqirilishiga juda bog‘liq. Hujumchi yuqori yoki cheksiz allowancega ega bo‘lgach, foydalanuvchi manzili nomidan transfer funksiyalarini qayta-qayta chaqirishi va tasdiqlangan balans tugaguncha uni bo‘shatib borishi mumkin. Approval exploitlar ko‘pincha chalg‘ituvchi tranzaksiya oynalari, noto‘g‘ri yo‘naltiruvchi contract nomlari yoki ilgari berilgan ruxsatlarni kutilmagan usulda qayta ishlatishga tayanadi. Asosiy xususiyati — foydalanuvchi o‘zi nimaga ruxsat berganini deb o‘ylagani bilan allowance amalda nimalarga yo‘l qo‘yishi o‘rtasidagi nomutanosiblikdir.
Kontekst va qo‘llanilishi
Xavfsizlik bo‘yicha muhokamalarda approval exploit bevosita protokol ishdan chiqishi emas, balki ruxsatlarni suiiste’mol qilish xavfi sifatida tilga olinadi. U ko‘pincha ERC-20 uslubidagi token dizaynlari bilan bog‘lanadi, bunda alohida approval bosqichi orqali boshqa contractlar sarflashi mumkin bo‘lgan allowance belgilanadi. Bu allowancelar noto‘g‘ri sozlanganda, hech qachon bekor qilinmaganda yoki ishonchsiz contractlarga berilganda, keyinchalik dushmanlar faollashtirishi mumkin bo‘lgan doimiy hujum yuzasini yaratadi. Shuning uchun bunday exploit smart contract dizayni, wallet UX va foydalanuvchining on-chain avtorizatsiya semantikasi haqidagi tushunchasi kesishgan nuqtada joylashadi.
Bu atama ko‘pincha allowance tushunchasi bilan birga ishlatiladi va token ruxsatlari qanchalik mayda darajada boshqarilishi yoki qaytarib olinishi kerakligini tasvirlash uchun qo‘llanadi. Xavfsizlik auditorlari va protokol dizaynerlari approval exploitlarni contract interfeyslari va ruxsat oqimlarini loyihalashda alohida hisobga olinishi kerak bo‘lgan tahdid toifasi sifatida ko‘rishadi. Hodisalar haqidagi hisobotlarda hujumni approval exploit deb belgilash, hujumchi rasmiy tarzda berilgan ruxsatlar doirasida harakat qilganini, ammo bu ruxsatlar aldov yo‘li bilan yoki xavfli tuzilma orqali olinganini ko‘rsatadi. Bunday tasniflash uni arifmetik xatolar, reentrancy yoki boshqa past darajadagi contract nuqsonlaridan kelib chiqadigan xatolardan ajratib turishga yordam beradi.