Инструмент безопасности, действующий от вашего имени без доступа к вашим ключам

Revoke.cash — это инструмент, который криптоиндустрия уже рекомендует использовать после того, как что-то пошло не так: он управляет разрешениями на токены — постоянным доступом, который пользователи предоставляют DeFi-приложениям и маркетплейсам каждый раз, когда совершают обмен, стейкинг или продажу NFT. Revoke.cash использовал Smart Accounts Kit от MetaMask для создания Auto-Revoking — функции, которая идёт на шаг дальше и автоматически удаляет ненужные разрешения, никогда не получая доступа к ключам пользователя.

Revoke.cash решает проблему, которую большинство кошельков даже не показывает

Разрешение на токен — это право, которое вы предоставляете DeFi-приложению на перемещение ваших токенов: разрешаете USDC, чтобы Uniswap мог его обменять, разрешаете Pudgy Penguin, чтобы OpenSea мог его выставить на продажу. Этот доступ не истекает после завершения операции. Он остаётся в вашем кошельке на неопределённый срок, и каждое неактивное разрешение — это постоянная уязвимость на случай, если приложение, которому оно было выдано, когда-либо будет взломано.

Revoke.cash появился в октябре 2019 года как побочный проект основателя Роско — он создал его, чтобы решить собственную проблему: слишком много DeFi-приложений незаметно сохраняли постоянный доступ к его кошельку. Способа увидеть или отозвать этот доступ ещё не существовало — и он его создал. За прошедшие шесть лет Revoke.cash обслужил более 2 миллионов пользователей, а с его помощью было отозвано свыше 20 миллионов разрешений на токены. Платные уровни Premium и Ultimate, в которых появился Auto-Revoking, были выпущены в 2026 году.

По словам Роско, идея Auto-Revoking возникла из наблюдения: правильный совет всегда приходит слишком поздно. Каждый раз, когда происходит эксплойт или кто-то теряет средства, стандартная рекомендация звучит так: «Зайдите на Revoke.cash». Классический случай — слишком мало и слишком поздно.

Вместо этого всё решает профилактика. Регулярная очистка разрешений не даёт им стать источником проблем. Делать это вручную на постоянной основе нереалистично для большинства людей, поэтому Revoke.cash создал автоматизированную версию, как только базовые технологии это позволили.

Проблема: действовать от имени пользователя, не получая его ключей

Как отрасль, мы прилагаем большие усилия, чтобы пользователи могли управлять своими кошельками самостоятельно, в некастодиальном режиме. Получение сид-фразы пользователя никогда не является вариантом с точки зрения безопасности.

— Роско, основатель Revoke.cash

Некоторые действия в блокчейне, например автоматическая ребалансировка или лимитные ордера, уже имеют рабочие механизмы для действий от имени пользователя. Отзыв чужого разрешения на токен такого механизма не имел — до появления ERC-7710 и ERC-7715.

Smart Accounts Kit и Delegation Framework от MetaMask стали основой вместо создания собственной инфраструктуры с нуля. SDK решают обе стороны задачи: простой интерфейс для пользователей, чтобы выдать делегирование, и бэкенд, который может его использовать. Это позволило Revoke.cash сосредоточить собственные инженерные ресурсы на более сложной и новаторской части: системах вокруг Auto-Revoking, а не на повторном изобретении лежащего в основе уровня делегирования.

Обратная связь от Revoke.cash помогла сформировать именно тот тип разрешений, который стал специфическим для отзыва разрешений на токены. MetaMask также помог Revoke.cash проработать части настройки делегирования между горячим и холодным кошельками.

Один холодный кошелёк, два горячих, одно узкое разрешение

Пользователь включает Auto-Revoking в разделе настроек аккаунта на Revoke.cash. Это действие запрашивает разрешение на отзыв токенов, выданное через MetaMask холодному кошельку под управлением Revoke.cash. Холодный кошелёк настроен на передачу этих делегирований двум горячим кошелькам, работающим на серверах автоматического отзыва Revoke.cash.

Далее системы Revoke.cash индексируют и отслеживают разрешения на токены пользователя в соответствии с настроенными правилами автоматического отзыва — например, устаревшие разрешения или помеченные как высокорисковые. Когда разрешение соответствует правилу, один из горячих кошельков отправляет транзакцию, которая несёт оба делегирования в цепочке — делегирование от пользователя к холодному кошельку и от холодного к горячему — авторизуя отзыв в блокчейне.

Зачем нужен холодный кошелёк посередине: если горячий кошелёк будет скомпрометирован, именно холодный кошелёк не позволит этому напрямую затронуть пользователя. Горячие кошельки можно добавлять или удалять за холодным кошельком, не изменяя исходное делегирование пользователя.

Зачем два горячих кошелька вместо одного: Revoke.cash делит автоматические отзывы на две категории. Плановые отзывы — это обычная очистка, например разрешение OpenSea, оставшееся от NFT, проданного два года назад. Срочные отзывы инициируются активным эксплойтом или возникающим риском, где важна скорость. Использование отдельного горячего кошелька для каждой категории гарантирует, что срочный отзыв, вызванный эксплойтом, никогда не застрянет в очереди за плановой уборкой.

Само разрешение ограничено caveat enforcers от MetaMask таким образом, чтобы авторизовать исключительно действие отзыва — ничего шире. Именно эта гарантия делает безопасной передачу делегирования автоматизированной системе.

Стек

Отзыв разрешений — важная мера безопасности, которую необходимо применять всем, но о которой никто не хочет думать. Предоставляя автоматический отзыв на базе Smart Accounts Kit от MetaMask, мы можем защищать пользователей, избавляя их от необходимости управлять этим вручную.

— Роско, основатель Revoke.cash

Советы Revoke.cash для разработчиков

• Не создавайте уровень делегирования самостоятельно. Сложной и новаторской частью Auto-Revoking была окружающая система: индексирование разрешений, сопоставление правил рисков, маршрутизация плановых и срочных исполнений. Передача SDK Smart Accounts Kit от MetaMask задачи выдачи и использования самого разрешения означала, что эту работу не нужно было дублировать.

• Изолируйте уровень исполнения от доверия пользователя. Холодный кошелёк между пользователем и горячими кошельками, которые фактически выполняют транзакции, означает, что скомпрометированный исполнитель никогда не становится проблемой пользователя; кошельки за холодным кошельком можно свободно ротировать.

• Разделяйте плановые и срочные задачи. Когда автоматизация работает по расписанию, не каждый триггер одинаково чувствителен ко времени. Разделение путей исполнения по срочности не позволяет медленной плановой задаче задержать быструю и критически важную.

Для получения дополнительной информации ознакомьтесь с:

• Документация MetaMask Smart Accounts Kit: https://docs.metamask.io/smart-accounts-kit

• Revoke.cash: https://revoke.cash/

• Фирменные материалы Revoke.cash: https://github.com/RevokeCash/brand-assets