Approvazioni di token, allowance e Permit: cosa firmi davvero

Perché le dApp chiedono un'approvazione

I token ERC-20 hanno una peculiarità che plasma metà della UX del Web3: uno smart contract non può semplicemente prendere token dal tuo indirizzo, nemmeno quando sei tu a volerlo. Un DEX che scambia i tuoi USDC ha prima bisogno del tuo permesso esplicito. Ecco perché tante interazioni sono in due passaggi — prima una transazione di approve, poi lo swap o il deposito vero e proprio. L'approvazione non è una formalità; è una concessione permanente di potere di spesa, e sopravvive alla transazione per cui l'hai data.

Cosa concede davvero approve()

Quando firmi un'approvazione, il contratto del token registra una allowance: l'indirizzo X (il contratto della dApp) può spendere fino a N dei tuoi token, quando vuole, finché l'allowance non è esaurita o modificata. Due proprietà contano. Primo: l'allowance è detenuta dal contratto che hai approvato, non dal sito web che hai visitato — l'interfaccia può sparire, il permesso resta. Secondo: nulla in un'allowance richiede il tuo coinvolgimento al momento della spesa — una volta concessa, il contratto approvato può prelevare token in qualsiasi transazione successiva senza un'altra tua firma. È esattamente ciò che rende utili le approvazioni — ed esattamente ciò che le rende una superficie d'attacco.

Approvazioni infinite: comode, e un rischio permanente

Poiché ogni approvazione costa gas, molte dApp chiedono un'allowance di fatto illimitata così da non doverti mai più chiedere l'approvazione. La comodità è reale, ma lo è anche lo scambio: un'allowance illimitata a un contratto significa che tutto il tuo saldo di quel token dipende per sempre dalla sicurezza di quel contratto. Se il contratto viene sfruttato anni dopo — o era malevolo fin dall'inizio — all'attaccante non servono la tua chiave né la tua firma; basta l'allowance che hai concesso. Molti dei più grandi incidenti di svuotamento di wallet non furono furti di chiavi, ma vecchie approvazioni incassate.

Permit e Permit2: approvazioni tramite firma

Il perfezionamento moderno è Permit (EIP-2612): invece di una transazione approve on-chain, firmi un messaggio off-chain che la dApp presenta insieme alla propria azione — una transazione invece di due, nessun gas separato per l'approvazione, e il permesso può essere limitato con una scadenza. Permit2 generalizza l'idea ai token che non hanno mai implementato EIP-2612, fungendo da hub condiviso di approvazioni con concessioni a scadenza e limitate nell'importo. Sono miglioramenti autentici, ma nota cosa cambiano: le firme fanno ora il lavoro che facevano le transazioni. Un sito di phishing che ti fa firmare il messaggio Permit sbagliato ottiene lo stesso risultato di un'approvazione malevola — quindi leggere ciò che firmi conta più che mai, non meno.

La superficie d'attacco: drainer e allowance stantie

L'abuso di approvazioni arriva in due varianti. Attiva: i siti drainer impersonano dApp reali e chiedono approvazioni (o firme Permit) travestite da azioni innocue come "claim" o "verifica wallet". Passiva: le allowance concesse anni fa a contratti legittimi restano dormienti finché il contratto, le sue chiavi admin o il suo percorso di upgrade non vengono compromessi. Entrambe sono ragioni per trattare il flusso connetti-e-approva come il momento critico per la sicurezza del Web3 — il modo sicuro di farlo è in come collegare il wallet a una dApp.

Igiene delle approvazioni che funziona davvero

Tre abitudini coprono la maggior parte del rischio. Approva importi limitati quando la dApp lo consente, soprattutto per saldi grandi — l'approvazione extra successiva è un'assicurazione economica. Rivedi e revoca le allowance periodicamente con un verificatore di approvazioni affidabile, trattando ciò che non usi più come zavorra da rimuovere (la revoca è essa stessa una transazione). E tieni i patrimoni seri su un indirizzo che semplicemente non firma mai approvazioni, separato dal tuo wallet dApp attivo. Altre abitudini stratificate in le nostre best practice di sicurezza del wallet.

Dove si inserisce WATS

Le approvazioni sono firme, e le firme sono territorio del wallet. WATS è completamente non-custodial — le chiavi le detieni tu, WATS non ne detiene mai una — quindi ogni approvazione, firma Permit e revoca avviene solo quando è la tua chiave a firmarla, dall'estensione browser o dall'app mobile, su EVM, Solana e TON. Il lato commissioni è dove WATS non assomiglia a nient'altro: ogni azione, incluse le transazioni di approvazione e revoca, viene addebitata in un solo token, ATS, invece del gas nativo della chain — tramite un paymaster ERC-4337 su EVM e un fee-payer/relayer equivalente su Solana e TON — così ripulire vecchie allowance non si blocca mai perché sei rimasto senza token gas su quella rete. L'ATS raccolto viene bruciato da un'offerta di 100M verso un pavimento di 30M, e poiché ATS è un OFT LayerZero, un unico saldo copre tutte le chain. WATS è il primo e unico wallet a combinare le commissioni a token unico ERC-4337 + OFT con quel burn — dettagli sulla pagina delle commissioni ATS.