トークン承認の取り消し

なぜ承認という仕組みがあるのかを先に押さえておくと、判断が楽になります。DEXでのスワップやNFTの出品では、コントラクトが利用者に代わってトークンを動かす必要があります。毎回の取引で個別に許可を取ると操作が煩雑になるため、最初に「このコントラクトはこのトークンをこの数量まで動かしてよい」という権限を設定しておく設計になっています。これが承認（approve）です。

問題は、この権限が期限を持たないことです。一度与えた承認は、明示的に取り消すまで有効なままです。多くのサイトが既定で「無制限」の数量を提案するため、利用者は気づかないうちに、そのコントラクトがいつでも全額を動かせる状態を作っています。そのコントラクトに脆弱性が見つかったり、運営者が悪意を持ったりした場合、数年前に一度使っただけのサービスから資産が抜かれることがあります。

棚卸しの手順は、おおむね次のとおりです。まず承認一覧を表示するツールを使い、自分のアドレスを入力して、どのコントラクトにどのトークンの権限を与えているかを確認します。この種のツールとしては Revoke.cash が知られており、アドレスを入れるだけの確認であればウォレットを接続する必要はありません。確認と取り消しで必要な操作が違う、という点を覚えておいてください。

取り消したい承認を選ぶと、ウォレットに署名の要求が来ます。ここで初めて接続と署名が必要になり、ブロックチェーン上の取引として実行されるためガス代がかかります。承認が多数残っている場合、1件ずつ取り消すとガス代が積み上がるので、金額が大きいトークンや、明らかに使っていない古いコントラクトから優先的に処理するのが現実的です。

運用としては、大きな金額を扱うアドレスと、新しいDAppを試すアドレスを分ける方法が有効です。試すためのアドレスには必要最小限しか置かず、そこで承認が積み上がっても損失の上限が決まっている状態を作ります。取り消しの手間を減らすより、失っても困らない設計にするほうが確実です。