آموزش Revoke در فانتوم؛ لغو دسترسی توکنها و قراردادهای مشکوک
اگر کیف پول Phantom را از یک سایت یا DApp مشکوک Disconnect کردهاید، نباید تصور کنید همه دسترسیهای آن از بین رفته است. بعضی مجوزهای خرجکردن توکن روی بلاکچین ثبت میشوند و حتی پس از قطع اتصال سایت نیز میتوانند فعال باقی بمانند.
برای Revoke در فانتوم باید ابتدا مشخص کنید با چه نوع دسترسی روبهرو هستید. Connected Apps فانتوم برای مدیریت اتصال و مجوزهای اپلیکیشنهاست؛ اما Token Approvalهای آنچین در Solana یا شبکههای EVM باید با ابزار متناسب با همان شبکه لغو شوند. Phantom نیز صراحتاً تأکید میکند که Disconnect کردن یک DApp با Revoke کردن مجوز خرجکردن توکن یکسان نیست.
نکته امنیتی: اگر Secret Recovery Phrase یا Private Key شما افشا شده باشد، Revoke کردن مجوزها برای امنکردن آن کیف پول کافی نیست. در این شرایط باید کیف پول را آلوده یا در معرض خطر در نظر بگیرید و داراییهای معتبر باقیمانده را به Wallet جدید منتقل کنید.
Revoke در فانتوم چیست؟
Revoke به معنی لغو مجوزی است که قبلاً برای دسترسی به یک دارایی یا انجام عملی مشخص صادر کردهاید. مهمترین نمونه آن Token Approval است؛ یعنی اجازهای که به یک قرارداد هوشمند میدهید تا مقدار مشخصی از توکن یا در بعضی موارد مقدار نامحدودی از آن را از طرف شما خرج کند.
این سازوکار ذاتاً مخرب نیست. صرافیهای غیرمتمرکز، پروتکلهای DeFi و بازارهای NFT برای انجام بعضی عملیات به چنین مجوزهایی نیاز دارند. برای مثال، زمانی که میخواهید USDC را در یک DEX تبدیل کنید، قرارداد ممکن است ابتدا از شما اجازه دسترسی به USDC بخواهد. در استانداردهای رایج EVM، این مجوز میتواند برای مبلغ مشخص یا حتی بهصورت Unlimited صادر شود.
مشکل زمانی ایجاد میشود که:
Approval را به یک قرارداد جعلی یا فیشینگ داده باشید؛
پروژهای که قبلاً معتبر بوده بعداً هک شود؛
یک مجوز Unlimited قدیمی را ماهها یا سالها فعال نگه دارید؛
ندانید یک سایت هنگام امضا دقیقاً چه اجازهای دریافت کرده است.
در چنین شرایطی، قطع اتصال سایت اولین اقدام مفید است؛ اما همیشه آخرین اقدام نیست.
تفاوت Disconnect، Revoke Permissions و Revoke Token Approval
در نسخه فعلی Phantom بهتر است سه مفهوم را کاملاً از هم جدا کنیم:
اقدام | چه چیزی حذف میشود؟ | آیا Token Approval آنچین حذف میشود؟ |
|---|---|---|
Disconnect App | اتصال DApp به Phantom | خیر |
Revoke permissions for all | مجوزهای امضا/تعامل اپهای متصل در Phantom | خیر؛ جایگزین Revoke Approval آن چین نیست |
Revoke Token Approval | مجوز خرجکردن دارایی ثبتشده روی بلاکچین | بله |
Phantom در بخش Connected Apps گزینه Revoke permissions for all را نیز ارائه میکند. این قابلیت باعث میشود اپهای متصل دیگر نتوانند از مجوزهای مربوط به تعامل و امضای Phantom استفاده کنند، بدون اینکه الزاماً از فهرست Connected Apps حذف شوند. بااینحال، اگر قبلاً Token Approval روی بلاکچین ایجاد شده باشد، باید همان Approval را جداگانه Revoke کنید.
به زبان ساده، Disconnect روی ارتباط Wallet و سایت اثر میگذارد؛ Revoke Token Approval روی اجازه ثبتشده برای دارایی اثر میگذارد.
چگونه DApp مشکوک را از فانتوم Disconnect کنیم؟
قبل از بررسی Approvalها، برنامههایی را که نمیشناسید یا دیگر از آنها استفاده نمیکنید از بخش Connected Apps پاک کنید.
در نسخه موبایل Phantom:
فانتوم را باز کنید.
روی Avatar یا تصویر پروفایل بالا سمت چپ بزنید.
وارد
Settingsشوید.Connected Appsرا انتخاب کنید.اپلیکیشن مشکوک را باز کنید.
گزینه
Disconnectرا بزنید.
برای قطع اتصال همه برنامهها نیز میتوانید از منوی سهنقطه بالای Connected Apps و گزینه مربوط به Disconnect همه اپها استفاده کنید.
اگر Phantom را برای اولین بار نصب میکنید یا چیدمان نسخه شما با تصاویر این راهنما متفاوت است، نسخه فعلی اپلیکیشن کیف پول فانتوم را بررسی کنید.
Phantom همچنین یادآوری میکند Connected Apps در موبایل و افزونه مرورگر الزاماً یک فهرست مشترک نیستند؛ هر پلتفرم برنامههایی را نشان میدهد که از همان محیط به آنها متصل شدهاید.
آیا Revoke permissions for all کافی است؟
خیر، اگر نگرانی شما Token Approval باشد.
در Connected Apps میتوانید:
Settings → Connected Apps → سهنقطه → Revoke permissions for all
را انتخاب کنید. این گزینه برای لغو Permissionهای مرتبط با اپهای متصل مفید است و میتواند بخشی از پاکسازی امنیتی باشد؛ اما Phantom همچنان Token Approval را موضوعی جدا میداند.
اگر برای مثال یک قرارداد EVM اجازه خرجکردن USDC شما را دریافت کرده باشد، صرف زدن Revoke permissions for all نباید بهعنوان اثبات حذف آن Allowance در نظر گرفته شود. برای این مورد باید وضعیت Approval روی شبکه مربوطه را بررسی کنید.
آموزش Revoke در فانتوم روی Solana
مدل مجوزهای Solana دقیقاً مانند ERC-20 اتریوم نیست. توکنهای سولانا معمولاً در Token Accountهایی از جمله Associated Token Account یا ATA نگهداری میشوند و ممکن است برای آنها Delegate تعیین شده باشد.
Phantom در راهنمای امنیتی فعلی خود برای بررسی و لغو دسترسیهای مشکوک Solana استفاده از Famous Foxes Revoker را توصیه میکند.
مسیر عملی به این شکل است:
در موبایل Phantom از Browser داخلی برنامه استفاده کنید.
ابزار رسمی Famous Foxes Revoker را باز کنید.
Wallet خود را متصل کنید.
Approvalها یا Permissionهای شناساییشده را بررسی کنید.
در صورتی که هدف پاکسازی Wallet مشکوک است، طبق راهنمای Phantom از گزینه
Revoke allاستفاده کنید.جزئیات تراکنش را داخل Phantom بررسی کنید.
تراکنش Revoke را تأیید کنید.
بعد از تأیید آنچین، صفحه را Refresh کرده و بررسی کنید که دسترسی باقی نمانده باشد.
برای انجام Revoke به مقدار کمی SOL برای کارمزد شبکه نیاز خواهید داشت. Phantom در راهنمای کارمزدها نیز تأکید میکند عملیات آنچین به موجودی مناسب ارز Native شبکه نیاز دارند.
آیا باید همیشه Revoke all بزنیم؟
اگر پس از یک سایت مشکوک نمیدانید دقیقاً کدام Delegate ایجاد شده، Phantom برای سناریوی کیف پول مشکوک استفاده از Revoke all را پیشنهاد میکند.
اما در استفاده روزمره، قبل از تأیید هر تراکنش بهتر است جزئیات آن را ببینید. Revoke کردن مجوزهای سالم معمولاً دارایی را از کیف پول حذف نمیکند؛ ولی ممکن است هنگام استفاده مجدد از یک سرویس مجبور شوید Permission جدیدی صادر کنید.
آموزش Revoke Token Approval فانتوم در Ethereum و شبکههای EVM
برای شبکههای EVM، Phantom در راهنمای مربوط به کیف پولهای هکشده استفاده از Revoke.cash را برای مشاهده و لغو Smart Contract Approvalها توصیه میکند.
Revoke.cash فهرست Approvalهای ثبتشده برای Address را نمایش میدهد و اجازه میدهد Spender، دارایی و مقدار مجاز را بررسی کنید. این سرویس در حال حاضر بیش از ۱۰۰ شبکه را پشتیبانی میکند.
در موبایل:
Browser داخلی Phantom را باز کنید.
وارد Revoke.cash شوید.
Connect Walletرا انتخاب و Phantom را متصل کنید.شبکهای را انتخاب کنید که دارایی و Approval روی آن قرار دارد.
فهرست Approvalها را بررسی کنید.
به ستونهای Asset، Spender و مقدار مجاز توجه کنید.
Approval ناشناس یا غیرضروری را پیدا کنید.
Revokeرا انتخاب کنید.درخواست تراکنش بازشده در Phantom را دقیق بررسی کنید.
تراکنش را Confirm کنید.
بعد از نهاییشدن، Dashboard را دوباره بررسی کنید.
روی شبکههای EVM، Revoke نیز یک تراکنش آنچین است و Gas دارد. ابزار اصلی Revoke.cash برای بررسی و Revoke تکی Approvalها هزینه سرویس جداگانهای دریافت نمیکند و کاربر Gas شبکه را میپردازد؛ قابلیت Batch Revoke ممکن است هزینه سرویس جدا داشته باشد.
چرا مقدار Unlimited Approval مهم است؟
برخی DAppها بهجای اجازه دسترسی فقط به مبلغ موردنیاز، Approval بسیار بزرگ یا اصطلاحاً Unlimited درخواست میکنند. مزیت این روش این است که برای تعامل بعدی نیاز به Approval جدید ندارید؛ اما اگر قرارداد یا Spender در آینده مخرب یا هک شود، دامنه ریسک بزرگتر خواهد بود.
در ERC-20، Revoke معمولاً با تغییر Allowance به صفر انجام میشود. برای بعضی NFTها نیز Permissionهایی مانند setApprovalForAll وجود دارد که میتواند اختیار انتقال کل NFTهای یک Collection را به یک Operator بدهد.
بنابراین هنگام بررسی Revoke.cash فقط دنبال نام یک سایت نباشید؛ Spender، دارایی، شبکه و نوع Permission را کنار هم ببینید.
از کجا بفهمیم کدام Approval را Revoke کنیم؟
هر Approval فعال لزوماً خطرناک نیست. بسیاری از پروتکلهای معتبر برای Swap، Lending یا سایر عملیات به مجوز نیاز دارند.
قبل از Revoke این موارد را بررسی کنید:
آیا نام DApp یا Spender را میشناسید؟
آیا هنوز از آن پروتکل استفاده میکنید؟
Approval چه زمانی ایجاد شده است؟
مربوط به کدام Token و Network است؟
مقدار دسترسی محدود است یا Unlimited؟
آیا پروژه یا قرارداد اخیراً دچار Incident امنیتی شده است؟
آیا Approval بلافاصله بعد از ورود به یک سایت مشکوک ظاهر شده است؟
اگر قرارداد ناشناس است، تنها با دیدن یک نام مشابه تصمیم نگیرید. Contract Address را با منبع رسمی پروژه و Explorer همان شبکه مقایسه کنید.
برای مجوزهای قدیمی DAppهایی که دیگر استفاده نمیکنید، Revoke معمولاً انتخاب محافظهکارانهتری است. Revoke.cash نیز توصیه میکند میان راحتی استفاده و سطح دسترسی قراردادها تعادل برقرار شود.
بعد از ورود به سایت مشکوک دقیقاً چه کار کنیم؟
اگر فقط سایت را باز کردهاید اما هیچ Wallet Connection، Sign Message یا Transactionی تأیید نکردهاید، معمولاً Token Approval جدیدی صرف بازدید از سایت ایجاد نمیشود.
اگر Wallet را Connect کردهاید ولی هیچ Approval یا تراکنش مشکوکی تأیید نکردهاید، ابتدا DApp را Disconnect کنید و Permissionها را بررسی کنید.
اما اگر یک Transaction یا Approval ناشناخته را تأیید کردهاید:
تعامل با سایت را متوقف کنید.
DApp را از Connected Apps قطع کنید.
Permissionهای Phantom را در صورت نیاز Revoke کنید.
Approvalهای Solana یا EVM را جداگانه بررسی کنید.
مجوز مشکوک را Revoke کنید.
تاریخچه تراکنشها را برای انتقال غیرمجاز بررسی کنید.
اگر احتمال افشای Recovery Phrase یا Private Key وجود دارد، Wallet را دیگر امن فرض نکنید.
Phantom نیز برای سناریوی Scam یا Drain ابتدا Disconnect، سپس Revoke Approval و در صورت احتمال compromise شدن کلیدها، انتقال داراییهای باقیمانده به Wallet جدید را توصیه میکند.
چه زمانی Revoke کافی نیست؟
مهمترین اشتباه این است که هر نوع حادثه امنیتی را مشکل Approval بدانیم.
اگر فقط یک Token Approval مخرب صادر کردهاید ولی Recovery Phrase و Private Key همچنان امن هستند، Revoke میتواند همان مسیر دسترسی را مسدود کند.
اما اگر یکی از موارد زیر رخ داده، مشکل جدیتر است:
Secret Recovery Phrase را در یک سایت وارد کردهاید؛
Private Key را برای فرد یا سرویس ناشناس ارسال کردهاید؛
عبارت بازیابی در اختیار بدافزار قرار گرفته است؛
تراکنشهای بدون تأیید شما از چند دارایی مختلف انجام میشوند؛
هر بار که برای Gas ارز وارد Wallet میکنید بلافاصله منتقل میشود.
در این شرایط مهاجم ممکن است خود کلیدهای Wallet را در اختیار داشته باشد و بعد از Revoke نیز دوباره تراکنش امضا کند.
Revoke.cash نیز درباره Walletهای آلوده به Sweeper Bot هشدار میدهد که فرستادن ETH جدید برای انجام Revoke نمیتواند مشکل افشای Seed Phrase را حل کند.
اگر کلیدها لو رفتهاند، Wallet جدیدی با Recovery Phrase جدید ایجاد کنید و فقط داراییهای معتبر باقیمانده را با احتیاط منتقل کنید. با توکنها یا NFTهای ناشناخته برای «نجات دادن» آنها تعامل نکنید.
آیا Revoke باعث حذف یا از دست رفتن دارایی میشود؟
در حالت عادی خیر. Revoke مالکیت Token را تغییر نمیدهد؛ Permission یک Spender را تغییر میدهد.
برای نمونه، اگر یک قرارداد اجازه خرجکردن USDC شما را داشته باشد، Revoke کردن آن Approval باعث انتقال USDC به آدرس دیگری نمیشود.
طبق توضیح Revoke.cash، Revoke Approval حتی داراییهای Deposit یا Stakeشده در پروتکل را نیز بهطور خودکار خارج نمیکند؛ اما ممکن است برای اضافهکردن دارایی جدید یا تعامل بعدی مجبور شوید مجدداً Approval صادر کنید.
در بعضی کاربردها مانند Listing فعال NFT، لغو Permission میتواند باعث شود عملکرد مورد انتظار آن سرویس دیگر انجام نشود. بنابراین Approvalهای ناشناس و بلااستفاده را در اولویت قرار دهید.
اشتباهات رایج هنگام لغو دسترسی در فانتوم
یکی از رایجترین اشتباهات امنیتی این است که کاربر بعد از ورود به یک DApp مشکوک، فقط اتصال سایت را از بخش Connected Apps قطع کند و تصور کند همه دسترسیها حذف شدهاند. Disconnect کردن سایت صرفاً ارتباط DApp با کیف پول را متوقف میکند و لزوماً Token Approval یا مجوز خرجکردن ثبتشده روی بلاکچین را از بین نمیبرد. اگر قبلاً به یک قرارداد هوشمند اجازه دسترسی به توکنها داده باشید، باید Approvalهای فعال را نیز روی شبکه مربوطه بررسی کرده و در صورت ناشناس یا غیرضروری بودن، آنها را Revoke کنید.
فقط Disconnect کردن سایت
Disconnect برای قطع ارتباط DApp مفید است، اما Approval ثبتشده روی بلاکچین را حذف نمیکند.
Revoke روی شبکه اشتباه
Approval هر Token به شبکه خودش مربوط است. اگر USDC شما روی Base قرار دارد، بررسی Approvalهای Ethereum بهتنهایی کافی نیست.
اعتماد به نام Spender
نام نمایشی معیار نهایی نیست. در موارد مشکوک Contract Address یا Spender Address را نیز بررسی کنید.
اتصال به سایت Revoker جعلی
ابزارهای Revoke خودشان هدف مناسبی برای فیشینگ هستند. آدرس را از منبع معتبر دریافت کنید و به نتایج تبلیغاتی، پیام خصوصی یا لینکهای ناشناس اعتماد نکنید.
هیچ ابزار Revoke معتبری برای اتصال Wallet به Secret Recovery Phrase یا Private Key شما نیاز ندارد.
تصور اینکه Revoke دارایی دزدیدهشده را برمیگرداند
Revoke یک اقدام پیشگیرانه و محدودکننده دسترسی است، نه سیستم Recovery. تراکنشهای تأییدشده بلاکچین با Revoke معکوس نمیشوند.
چکلیست امنیتی بعد از تعامل با DApp مشکوک
اگر به یک سایت مشکوک متصل شدهاید، این ترتیب را دنبال کنید:
سایت را ببندید و هیچ درخواست جدیدی تأیید نکنید.
Settings → Connected Appsرا بررسی کنید.DApp ناشناس را Disconnect کنید.
در صورت نیاز
Revoke permissions for allرا اجرا کنید.برای Solana، Permissionها را با Famous Foxes Revoker بررسی کنید.
برای EVM، Approvalها را با Revoke.cash بررسی کنید.
Approvalهای ناشناس یا غیرضروری را لغو کنید.
تاریخچه تراکنشها را برای برداشتهای ناشناس بررسی کنید.
اگر Recovery Phrase یا Private Key افشا شده، Wallet جدید بسازید.
در Wallet جدید از عبارت بازیابی کاملاً جدید استفاده کنید.
برای کاهش ریسک از همان ابتدا نیز بهتر است اپلیکیشن را از منبع مطمئن دریافت کنید و هنگام نصب یا بهروزرسانی، مشخصات نسخه کیف پول فانتوم را کنترل کنید.
سؤالات متداول
آیا Disconnect کردن DApp در Phantom همان Revoke است؟
خیر. Disconnect اتصال سایت به Phantom را قطع میکند، اما Token Approvalهای موجود روی بلاکچین ممکن است همچنان فعال باشند. Phantom این دو عملیات را صراحتاً جدا میداند.
برای Revoke.cash فانتوم باید Recovery Phrase وارد کنیم؟
خیر. برای اتصال Wallet به DApp یا بررسی Approval هیچ نیازی به واردکردن Recovery Phrase یا Private Key در سایت وجود ندارد. اگر سایتی چنین اطلاعاتی درخواست کرد، ادامه ندهید.
آیا Revoke در فانتوم کارمزد دارد؟
اگر Revoke نیازمند تغییر وضعیت روی بلاکچین باشد، یک تراکنش ایجاد میشود و معمولاً باید Network Fee بپردازید. نوع ارز کارمزد به شبکه بستگی دارد؛ برای مثال SOL در Solana و ETH روی Ethereum یا Base استفاده میشود.
آیا لازم است همه Approvalها را حذف کنیم؟
نه الزاماً. Approvalهای مربوط به سرویسهایی که فعالانه استفاده میکنید ممکن است مشروع باشند. اولویت با Permissionهای ناشناس، Unlimited، قدیمی یا مربوط به DAppهایی است که دیگر به آنها اعتماد ندارید.
آیا Revoke کردن Approval کیف پول هکشده را دوباره امن میکند؟
فقط در صورتی که مشکل محدود به همان Approval باشد. اگر Recovery Phrase یا Private Key افشا شده باشد، مهاجم مستقیماً قادر به امضای تراکنش است و Revoke مشکل اصلی را حل نمیکند.
جمعبندی
Revoke در فانتوم زمانی اهمیت پیدا میکند که قبلاً به یک DApp یا Smart Contract اجازهای داده باشید که دیگر به آن نیاز ندارید یا به آن اعتماد ندارید. مهمترین نکته این است که Disconnect کردن سایت، Revoke permissions for all در Connected Apps و Revoke کردن Token Approval سه عملیات متفاوت هستند.
برای Solana، راهنمای رسمی Phantom در سناریوی Permission مشکوک استفاده از Famous Foxes Revoker را توصیه میکند. برای Ethereum و شبکههای EVM نیز میتوانید Approvalهای آنچین را با Revoke.cash بررسی کرده و دسترسی قراردادهای ناشناس را لغو کنید.
اگر فقط یک Approval مخرب صادر شده باشد، لغو همان Permission میتواند مسیر دسترسی قرارداد به Token را ببندد. اما اگر عبارت بازیابی یا Private Key افشا شده است، Revoke را جایگزین مهاجرت به Wallet جدید نکنید. در امنیت کیف پول، تشخیص اینکه «چه نوع دسترسیای لو رفته» مهمتر از زدن یک دکمه Revoke است.