Uma ferramenta de segurança que age em seu nome sem tocar em suas chaves

Revoke.cash é a ferramenta que o mercado de criptomoedas já recomenda às pessoas após algo dar errado: ela gerencia aprovações de tokens, o acesso persistente que os usuários concedem a aplicativos DeFi e marketplaces toda vez que fazem um swap, fazem staking ou vendem um NFT. A Revoke.cash utilizou o Smart Accounts Kit da MetaMask para criar o Auto-Revoking, que vai além ao limpar automaticamente as aprovações desnecessárias sem nunca ter acesso às chaves do usuário.

A Revoke.cash resolve um problema que a maioria das carteiras nunca expõe

Uma aprovação de token é a permissão que você concede a um aplicativo DeFi para movimentar seus tokens: aprovar USDC para que a Uniswap possa fazer o swap, aprovar um Pudgy Penguin para que a OpenSea possa listá-lo. Esse acesso não expira quando você termina. Ele fica na sua carteira indefinidamente, e cada aprovação inativa é uma vulnerabilidade permanente caso o aplicativo ao qual foi concedida seja explorado.

A Revoke.cash surgiu em outubro de 2019 como um projeto paralelo do fundador Rosco, criado para resolver seu próprio desconforto com a quantidade de aplicativos DeFi que mantinham acesso silencioso à sua carteira. Não havia nenhuma forma de visualizar ou revogar esse acesso, então ele criou uma. Ao longo dos últimos seis anos, a Revoke.cash atendeu mais de 2 milhões de usuários e foi utilizada para revogar mais de 20 milhões de aprovações de tokens. Os planos Premium e Ultimate, os níveis pagos que introduziram o Auto-Revoking, foram lançados em 2026.

Rosco conta que a ideia do Auto-Revoking surgiu ao perceber que o conselho certo sempre chega tarde demais. Sempre que um exploit acontece ou alguém perde fundos, a orientação padrão é "vá até a Revoke.cash." Um caso clássico de pouco e tarde demais.

A prevenção é tudo. Limpar as aprovações regularmente evita que elas causem problemas. Fazer isso de forma consistente e manual é inviável para a maioria das pessoas, então a Revoke.cash criou a versão automatizada assim que a tecnologia subjacente tornou isso possível.

O desafio: agir em nome de alguém sem nunca ter acesso às suas chaves

Como indústria, estamos trabalhando arduamente para tornar viável que os usuários gerenciem suas próprias carteiras de forma não custodial. Assumir a custódia da seed phrase de um usuário nunca é uma opção do ponto de vista de segurança.

— Rosco, fundador da Revoke.cash

Algumas ações onchain, como rebalanceamento automatizado ou ordens limitadas, já têm formas viáveis de agir em nome de um usuário. Revogar a aprovação de token de outra pessoa não tinha, até que o ERC-7710 e o ERC-7715 chegaram.

O Smart Accounts Kit e o Delegation Framework da MetaMask tornaram-se a base, em vez de uma infraestrutura construída do zero. Os SDKs resolvem os dois lados do problema: uma interface simples para que os usuários concedam uma delegação e um backend que pode consumi-la. Isso permitiu que a Revoke.cash concentrasse sua própria engenharia na parte mais difícil e inovadora: os sistemas em torno do Auto-Revoking, em vez de reinventar a camada de delegação subjacente.

O feedback da Revoke.cash ajudou a moldar o que se tornou o tipo de permissão de revogação de aprovação de token especificamente. A MetaMask também ajudou a Revoke.cash a trabalhar partes da configuração de delegação entre carteira quente e fria.

Uma carteira fria, duas quentes e uma única permissão restrita

O usuário ativa o Auto-Revoking na seção de configurações de conta da Revoke.cash. Essa ação solicita uma permissão de revogação de aprovação de token, concedida pela MetaMask, a uma carteira fria controlada pela Revoke.cash. A carteira fria é configurada para encaminhar essas delegações a duas carteiras quentes que rodam nos servidores de auto-revogação da Revoke.cash.

A partir daí, os sistemas da Revoke.cash indexam e monitoram as aprovações de tokens do usuário de acordo com suas regras de auto-revogação configuradas, como aprovações que ficaram obsoletas ou marcadas como de alto risco. Quando uma aprovação corresponde a uma regra, uma das carteiras quentes envia uma transação que carrega ambas as delegações na cadeia — a delegação do usuário para a carteira fria e a delegação da carteira fria para a quente —, autorizando a revogação onchain.

Por que ter uma carteira fria no meio: se uma carteira quente for comprometida, a carteira fria é o que impede que isso afete o usuário diretamente. Carteiras quentes podem ser adicionadas ou removidas por trás da carteira fria sem que a delegação original do usuário precise ser alterada.

Por que duas carteiras quentes em vez de uma: a Revoke.cash divide as auto-revogações em duas categorias. Revogações de rotina são limpezas comuns, como uma aprovação da OpenSea deixada de um NFT vendido há dois anos. Revogações urgentes são acionadas por um exploit ativo ou um risco emergente, onde a velocidade importa. Executar cada categoria por meio de sua própria carteira quente dedicada garante que uma revogação urgente, acionada por exploit, nunca fique presa em uma fila atrás de tarefas rotineiras.

A própria permissão tem escopo definido pelos caveat enforcers da MetaMask para autorizar apenas uma ação de revogação, nada mais amplo — o que é a garantia que torna seguro entregar uma delegação a um sistema automatizado.

A stack

Revogar aprovações é uma medida de segurança importante que todos precisam adotar, mas que ninguém quer ter que pensar. Ao oferecer revogação automatizada, com o suporte do Smart Accounts Kit da MetaMask, conseguimos proteger esses usuários enquanto poupamos o esforço mental de gerenciar isso manualmente.

— Rosco, fundador da Revoke.cash

Conselhos da Revoke.cash para desenvolvedores

• Não construa a camada de delegação você mesmo. A parte difícil e inovadora do Auto-Revoking foi o sistema ao redor: indexar aprovações, aplicar regras de risco, rotear execuções de rotina versus urgentes. Deixar o SDK do Smart Accounts Kit da MetaMask lidar com a concessão e o consumo da permissão em si significou que esse trabalho não precisou ser duplicado.

• Isole sua camada de execução da confiança do usuário. Uma carteira fria entre o usuário e as carteiras quentes que realmente executam as transações significa que um executor comprometido nunca precisa se tornar um problema para o usuário; as carteiras por trás da carteira fria podem ser rotacionadas livremente.

• Separe o rotineiro do urgente. Quando a automação roda em um cronograma, nem todo gatilho tem a mesma urgência. Dividir os caminhos de execução por urgência evita que uma tarefa lenta e rotineira atrase uma rápida e de alto impacto.

Para mais informações, confira:

• Documentação do MetaMask Smart Accounts Kit: https://docs.metamask.io/smart-accounts-kit

• Revoke.cash: https://revoke.cash/

• Recursos de marca da Revoke.cash: https://github.com/RevokeCash/brand-assets