Можно ли отозвать разрешения для токенов в MetaMask?

Любое разрешение, которое выдал аккаунт MetaMask, можно отозвать. Способ зависит от типа разрешения.

В справочном центре MetaMask различают отключение сайта и отзыв разрешения. Отключение не позволяет сайту видеть ваш адрес и балансы. Любое разрешение на токен, которое вы подписали там, остаётся активным ончейн и по-прежнему может перемещать ваши токены.

Два более новых разрешения также могут давать dapp постоянный доступ к токенам. После обновления Pectra в Эфириум MetaMask может использовать EIP-7702, чтобы привязать обычный аккаунт к собственному смарт-контракту. Этот статус смарт-аккаунта включён по умолчанию для новых пользователей.

Расширенные разрешения ERC-7715, поддержку которых также начал добавлять MetaMask, позволяют dapp тратить ограниченную сумму токена по расписанию, не запрашивая подпись каждый раз. Оба типа разрешений можно отключить в кошельке.

Четыре типа разрешений и что контролирует каждое из них

Каждое разрешение хранится по-своему, и от этого зависит, где его можно отозвать.

• Подключение к сайту: позволяет сайту видеть ваш публичный адрес, балансы токенов и активность, а также отправлять запросы на подтверждение транзакций. Самостоятельно перемещать средства он не может. Подключения хранятся локально в MetaMask, и удалить их можно бесплатно.
• Лимит расходования токенов (одобрение или allowance): ончейн-запись в контракте токена, разрешающая определённому получателю — адресу контракта, который вы одобрили, — переводить с вашего кошелька токены в пределах заданной суммы. Dapps часто запрашивают неограниченные лимиты. MetaMask предупреждает, что неограниченные лимиты расходования опасны, поскольку взломанное или мошенническое dapp может вывести весь ваш баланс этого токена. Маркетплейсы NFT используют схожее разрешение, setApprovalForAll, охватывающее каждый токен в коллекции.
• Подписи Permit и Permit2: подписи без оплаты газа, которые задают лимит расходов, когда контракт позже их отправляет. EIP-2612 Permit работает с токенами, в которых эта функция встроена. Контракт Permit2 от Uniswap распространяет этот подход на любой токен ERC-20 после того, как вы одобрите сам Permit2. Ни одна из подписей не отображается ончейн до отправки.
• Делегирование смарт-аккаунта и расширенные разрешения: делегирование EIP-7702 направляет ваш аккаунт на контракт Delegator от MetaMask, что позволяет объединять транзакции в пакеты и оплачивать газ за пользователя. Расширенные разрешения ERC-7715 строятся на этом смарт-аккаунте и дают dapp ограниченный по времени доступ к токенам, например 10 USDC в день за подписку. Для каждого из них нужны отдельные шаги по отзыву.

Как отозвать разрешения для токенов в MetaMask

Четыре метода охватывают все типы разрешений. Первый мы используем после каждой сессии, а второй или третий — для всего, что связано со средствами.

1. Отключите сайты в MetaMask

Отключения достаточно, если сайт только подключился к вашему кошельку и ни разу не запрашивал одобрение токена. Это также первый шаг после посещения страницы, которой вы не доверяете.

Удалите подключение сайта из кошелька:

1. Откройте Dapp connections: в расширении MetaMask нажмите на меню в правом верхнем углу экрана аккаунта и выберите Dapp connections. На мобильном устройстве откройте сайт во встроенном браузере приложения и нажмите на значок аккаунта в правом верхнем углу.
2. Выберите сайт: выберите сайт, затем нажмите Disconnect в расширении или Disconnect all на мобильном устройстве, чтобы удалить с него свои аккаунты.
3. Очистить всё сразу: перейдите в «Настройки», затем «Безопасность и конфиденциальность», затем «Очистить данные конфиденциальности». Это удалит все подключения к сайтам для выбранного в данный момент аккаунта одним нажатием.

Отключение бесплатное и мгновенное, так как ничего не записывается в блокчейн. Оно также ничего не отзывает ончейн. Если вы подписали разрешение на сайте, переходите к следующему шагу.

2. Отзовите лимиты расходов в MetaMask Portfolio

MetaMask Portfolio — отдельная веб-панель с менеджером разрешений MetaMask. Она показывает и отзывает лимиты расходов в сетях основная сеть Эфириум, Polygon, BNB Chain, Optimism и Base.

Отзовите разрешение в MetaMask Portfolio:

1. Откройте портфель: перейдите на portfolio.metamask.io, подключите MetaMask и оставайтесь на вкладке Overview.
2. Перейдите на вкладку лимитов расходов: нажмите вкладку Spending Caps, чтобы увидеть действующие разрешения для подключённых аккаунтов, сгруппированные по токенам и получателям.
3. Отзыв и подтверждение: нажмите Revoke рядом с разрешением, затем подтвердите в MetaMask. Каждый отзыв требует ончейн-транзакции и комиссии сети за газ для её обработки.

Portfolio подходит пользователям, которые хотят оставаться в MetaMask и использовать только пять поддерживаемых сетей. Для Arbitrum, Avalanche, Linea или менее крупных сетей выберите один из двух следующих вариантов.

3. Отзовите разрешения через Revoke.cash

В центре помощи MetaMask Revoke.cash указан первым среди сторонних инструментов. Мы используем его для адресов, активных в нескольких сетях. Помимо лимитов расходов ERC-20 панель показывает разрешения NFT, допуски Permit2 и делегирования EIP-7702. Проверка эксплойтов сравнивает ваши разрешения со списком взломанных контрактов.

Аудит и отзыв разрешений в более чем 100 сетях:

1. Загрузите свой адрес: Откройте Revoke.cash и подключите MetaMask либо вставьте свой адрес или имя ENS в строку поиска. Имя ENS — это читаемое имя, оканчивающееся на .eth. Выберите сеть для проверки.
2. Сортировка и фильтрация: Отсортируйте по дате, чтобы найти недавнее вредоносное разрешение, или отфильтруйте неограниченные лимиты. Если оповещение системы безопасности указывает на контракт, ищите по адресу расходующего.
3. Отзыв или пакетный отзыв: нажмите Revoke рядом с разрешением и подтвердите в MetaMask. Чтобы удалить несколько, выберите их и воспользуйтесь пакетным отзывом. Для этого используется смарт-аккаунт EIP-7702, который объединяет десятки отзывов в одну транзакцию.

Основная панель бесплатна, а за отдельные отзывы разрешений взимается только газ. На бесплатном тарифе Revoke.cash берёт 1,50 $ за пакет. Premium стоит 99 $ в год, отменяет комиссии за пакеты и добавляет просмотр нескольких сетей. Ultimate за 199 $ в год постоянно отслеживает разрешения и автоматически отзывает рискованные, при этом в него включён небольшой бюджет на газ.

Его бесплатное расширение для браузера поддерживает все сети EVM и предупреждает, прежде чем вы подпишете подозрительное разрешение или Permit.

4. Используйте проверку разрешений токенов в обозревателе блоков

У большинства крупных обозревателей EVM есть проверка разрешений. MetaMask направляет пользователей в Etherscan, BscScan и Polygonscan, где можно проверить контракт получателя разрешения на том же сайте, который вы используете для просмотра транзакций.

Отзыв разрешений через обозреватель блоков:

1. Подключитесь к Web3: откройте проверку разрешений токенов в обозревателе сети, нажмите Connect to Web3 и выберите MetaMask.
2. Проверьте спендеры: инструмент показывает разрешения ERC-20, ERC-721 и ERC-1155, включая название контракта спендера, если оно подтверждено. Откройте страницу контракта любого незнакомого вам спендера.
3. Отзовите разрешение и оплатите газ: нажмите Revoke рядом с записью. Проверьте токен и адрес получателя разрешения в окне подтверждения MetaMask, затем подтвердите транзакцию.

Каждый проверочный инструмент обозревателя охватывает один блокчейн. Поэтому для проверки кошелька, используемого в шести сетях, нужно шесть отдельных обращений, и для полной проверки мы по умолчанию используем мультичейн-инструмент.

Как отозвать делегирования Smart Account и расширенные разрешения

Умные аккаунты по умолчанию включены для новых пользователей MetaMask, поэтому у многих теперь есть делегирование EIP-7702, которое они сами не настраивали. Делегирование аудированному контракту Delegator от MetaMask безопасно. Однако пакетная обработка позволяет одной транзакцией переместить сразу несколько активов, что увеличивает возможности фишингового сайта при одной подписи.

В месяцы после Pectra Scam Sniffer зафиксировала два крупных случая пакетного фишинга через EIP-7702 с совокупными потерями в 2,54 млн долларов.

Как вернуть смарт-аккаунт к стандартному аккаунту:

1. Откройте Account details: нажмите на переключатель аккаунтов в верхней части MetaMask, нажмите три точки рядом с аккаунтом и выберите Account details, затем Smart account.
2. Отключите каждую сеть: отключите статус смарт-аккаунта в каждой сети, где хотите вернуть прежний режим. Настройка действует отдельно для каждой сети, и каждое переключение требует транзакции с небольшой комиссией за газ.
3. Подтвердите возврат: проверьте и подтвердите в MetaMask. Ваш адрес, средства и секретная фраза восстановления остаются прежними, потому что аккаунт всё время остаётся EOA — обычным аккаунтом, управляемым ключом.

Revoke.cash показывает активные делегирования на вкладке Delegations, но не может их отменить. MetaMask не позволяет внешним dapp устанавливать или отзывать делегирования EIP-7702, поэтому единственным способом отмены остаётся переключатель в кошельке.

Чтобы отменить расширенные разрешения ERC-7715, откройте Dapp connections в MetaMask и отзовите активное разрешение. У многих из них есть срок действия, и они завершаются автоматически.

Если вы отключили смарт-аккаунт, MetaMask попросит включить его снова, прежде чем dapp сможет запросить расширенное разрешение. Такой запрос означает, что dapp хочет получить постоянный доступ.

Что делать с подписями Permit и Permit2

Ни одна панель не покажет, какие подписи Permit вы подписали, поскольку они появляются в ончейне только тогда, когда получатель их отправляет. Дрейнеры кошельков используют эту слепую зону. В последнем годовом отчёте Scam Sniffer 38 процентов потерь по крупным случаям приписано подписям Permit и Permit2, включая крупнейшую кражу года — 6,5 млн долларов в stETH и обёрнутом биткоине.

Если вы подозреваете, что подписали Permit на фишинговом сайте, сначала используйте Revoke.cash или Portfolio, чтобы отозвать действующее разрешение для контракта Permit2. Также отзовите разрешения для контрактов NFT-маркетплейсов, таких как OpenSea или Blur.

Затем откройте вкладку Signatures на странице своего аккаунта Revoke.cash, чтобы отменить возможные подписи Permit для токенов, которые у вас есть. Revoke.cash сообщает, что эта страница может показать только токены, для которых подпись могла существовать. Тратьте газ на отмену, только если уверены, что что-то подписывали.

Если средства уже уходят, а каждое пополнение ETH исчезает за секунды, значит, вашу сид-фразу похитили. Отзыв разрешений не поможет. Переведите всё оставшееся на новый кошелёк и откажитесь от старого.

При подтверждении Permit2 замените неограниченный лимит по умолчанию на ограничение суммы. MetaMask позволяет изменить лимит на экране подтверждения до подписания, ограничивая, сколько можно списать по последующей подписи.

Как отозвать разрешения токенов в Solana

Инструменты отзыва разрешений для EVM не работают в Solana, поскольку разрешения там устроены иначе. Каждый токен находится на отдельном токен-аккаунте, владелец которого может назначить одного делегата для перевода суммы до заданного лимита. Только владелец токен-аккаунта может подписать инструкцию Revoke программы Token Program, которая удаляет делегата и обнуляет делегированную сумму.

Большинство действий в Solana DeFi не создают постоянного делегата. Дрейнеры же используют поддельные страницы получения наград, которые незаметно выдают такое разрешение.

В аккаунтах Solana в MetaMask нет отдельного экрана делегирования, поэтому нужно подключиться к инструменту отзыва разрешений для Solana. Справочный центр Phantom рекомендует Famous Fox Federation Revoker. Инструмент отзыва Sol Incinerator также сканирует аккаунты SPL Token и Token-2022.

Отзовите права делегатов Solana с помощью инструмента-ревокера:

1. Подключите кошелёк Solana: откройте сервис отзыва разрешений и подключите Phantom, Solflare или другой поддерживаемый кошелёк Solana. Дайте ему просканировать ваши токен-аккаунты на наличие активных делегатов.
2. Проверьте одобренный адрес: проверьте название каждого токена, адрес минта и делегата. Сохраните любого делегата, необходимого для открытого листинга на маркетплейсе или позиции по кредитованию.
3. Отзовите и подпишите: выберите делегатов, которых нужно удалить, и подпишите транзакцию. Ваши токены остаются в вашем кошельке, а вы платите только стандартную комиссию сети Solana.

Отключение приложения Solana в Phantom или MetaMask прекращает новые запросы на подпись, но не отменяет ончейн-делегирование. То же различие действует и в Эфириум. В нашем сравнении MetaMask и Phantom объясняется, как оба кошелька работают с Solana.

Почему по-прежнему важно отзывать разрешения

Фишинг одобрений и подписей в прошлом году резко сократился, но потери по-прежнему сосредоточены в описанных здесь разрешениях. По данным Scam Sniffer, в 2025 году через дрейнеры кошельков у 106 106 жертв было похищено 83,85 млн долларов. Это на 83 процентов меньше, чем годом ранее (494 млн долларов).

Потери следовали за рыночной активностью и достигли 31 млн долларов в третьем квартале, во время крупнейшего роста Эфириум в этом году. Во всех одиннадцати случаях с ущербом свыше 1 млн долларов была подпись, одобренная жертвой. Среди них были Permits, вызовы approve или increaseApproval, разрешения setApprovalForAll для NFTs позиций Uniswap V3 и пакеты EIP-7702.

Разрешения для легитимных протоколов тоже несут долгосрочный риск. Лимит, выданный два года назад, остаётся действительным, если протокол позже взломают или его фронтенд будет скомпрометирован. Злоумышленник может использовать этот лимит без ваших ключей. Как объясняет Revoke.cash, аппаратный кошелёк здесь не защищает, поскольку подписанное разрешение уже допускает списание. Регулярный отзыв разрешений — единственная защита, работающая постфактум.

Мы считаем разрешения (approvals) для децентрализованных бирж, мостов и NFT-маркетплейсов временными. После использования любой из ведущих децентрализованных бирж или кроссчейн-моста мы отзываем разрешение в том же сеансе. В следующий раз, когда оно потребуется, мы одобряем только точную сумму.

Распространённые проблемы с отзывом разрешений в MetaMask и их решения

Большинство неудачных или непонятных отзывов разрешений сводятся к трём причинам. Проверьте их по порядку, прежде чем считать, что проблема в кошельке.

1. Подтверждение не отображается

Сначала проверьте тип разрешения и сеть:

1. Проверьте, что вы разрешили: подключение к сайту не отображается в списке лимитов расходов. Вместо этого проверьте подключения Dapp. Если вы включили смарт-аккаунт, посмотрите на вкладке «Делегирования».
2. Выберите нужную сеть: разрешения записываются отдельно в каждой сети. Для разрешения, подписанного в Arbitrum, переключите на Arbitrum и MetaMask, и инструмент отзыва. Если сети нет в списке, воспользуйтесь нашим руководством по добавлению сетей в MetaMask.
3. Попробуйте второй инструмент: Portfolio индексирует только пять сетей, а каждый обозреватель — свою. Если разрешение отсутствует в обоих, загрузите свой адрес в Revoke.cash и проверьте ту же сеть.

2. Транзакция отзыва не проходит

Исключите газ и ожидающие транзакции:

1. Пополните баланс нативного токена: для ончейн-отзывов разрешений нужна нативная монета сети для оплаты газа, например ETH, POL, BNB или SOL. Перед длинной серией проверьте текущую стоимость в нашем трекере газа Эфириума.
2. Очистите зависшие транзакции: ожидающая транзакция с меньшим nonce блокирует все последующие. Nonce — это порядковый номер, который MetaMask присваивает каждой транзакции. Перед повторной попыткой ускорьте или отмените ожидающую транзакцию на вкладке «Активность». Если окно подтверждения возвращает ошибку, см. наше решение для внутренней ошибки JSON-RPC в MetaMask.
3. Подождите из-за RPC: публичные RPC-endpoints — это серверы, через которые MetaMask подключается к сети. При перегрузке они могут отбрасывать запросы в небольших сетях. Повторите попытку через несколько минут или переключитесь на другой RPC для этой сети.

3. Разрешение всё ещё выглядит активным

Отличите устаревшие данные от реальной проблемы:

1. Обновите источник: инструменты отзыва разрешений кэшируют результаты. После подтверждения отзыва перезагрузите страницу и повторите сканирование, затем проверьте хеш транзакции в обозревателе, чтобы убедиться в успехе.
2. Проверьте повторное одобрение: некоторые dapp автоматически запрашивают новое одобрение, когда вы возвращаетесь. Вновь появившееся разрешение означает, что сайт запросил его снова, а вы его подписали.
3. Проверьте наличие бота-свипера: если ETH, внесённый для оплаты газа, сразу исчезает, ваш приватный ключ скомпрометирован, и отзыв разрешений не поможет. Переведите всё, что возможно, на новый кошелёк, не используя повторно прежнюю сид-фразу.

Выводы

Теперь можно удалить любое разрешение в аккаунте MetaMask. Portfolio управляет лимитами расходов в пяти сетях, а Revoke.cash охватывает остальные типы разрешений, включая Permit2 и делегирования. Делегирования смарт-аккаунтов и разрешения ERC-7715 отключены внутри кошелька.

Установите ежемесячное напоминание проверять Revoke.cash или Portfolio и удалять неиспользуемые разрешения. Для сохраняемых разрешений выбирайте лимит расходов вместо неограниченного доступа. Вместе эти привычки устраняют большую часть уязвимости, на которую опираются дрейнеры кошельков.