Passo 1: fazer o inventário

Curiosidade

1. Como uma assinatura de permissão esquecida pode conceder a um invasor acesso a ativos sem revelar a chave privada?
2. Por que revogar aprovações de tokens não utilizados exige o pagamento de uma taxa de rede se, na verdade, nenhum token é transferido durante o processo?
3. Qual é a diferença entre deter um ativo embalado em uma cadeia e deter a moeda nativa que o sustenta?

Explorar

1. Antes de consolidar os ativos, cada local onde o valor está armazenado requer documentação. Isso inclui contas de câmbio centralizadas, aplicativos de carteira com autogestão, tokens em diferentes cadeias, posições ativas de staking, participações em pools de liquidez, reivindicações de airdrop pendentes e todas as frases-semente em uso. Um inventário completo mostra não apenas o saldo, mas também a estrutura de controle: quais chaves possuem quais ativos e onde essas chaves estão localizadas. Sem esse mapa, os passos seguintes correm o risco de deixar o valor preso ou expô-lo a riscos desnecessários.
2. Nas cadeias no estilo Ethereum, as aprovações de tokens representam um vetor de segurança crítico. Ao interagir com aplicativos descentralizados, os usuários assinam transações de aprovação ERC-20 que concedem aos contratos inteligentes permissão para gastar tokens específicos em seu nome. Essas permissões permanecem ativas até serem revogadas explicitamente. Se um usuário aprovar um contrato para uma interação inicial e nunca voltar para revogá-la, o contrato mantém poder de gasto ilimitado ou grande sobre esses ativos. Um contrato comprometido ou malicioso pode então esvaziar o saldo sem nenhuma interação adicional por parte do usuário.
3. Ferramentas de verificação de aprovações, como a ferramenta de aprovação de tokens do Etherscan, permitem que os usuários conectem sua carteira e visualizem todas as permissões ativas. Revogar uma aprovação não utilizada é uma transação que gera taxas de gás, mas elimina um possível vetor de ataque. O trade-off é claro: pagar uma pequena taxa agora evita o risco de perder valor significativo posteriormente. As aprovações relacionadas a posições ainda em uso cumprem sua função; as aprovações obsoletas deixadas por aplicativos abandonados não servem para nada.
4. Ativos embalados e em ponte introduzem complexidade adicional, pois representam reivindicações sobre a custódia de terceiros ou sobre infraestrutura de ponte, em vez de moedas nativas. Um token embalado no Ethereum representa uma reivindicação sobre Bitcoin mantido por um custodiano; um ativo em ponte em outra cadeia é uma reivindicação sobre o ativo original bloqueado em um contrato. Esses “envoltórios” dependem da solvência e honestidade dos intermediários. Em um inventário, é essencial indicar quais ativos são nativos e quais são reivindicações derivadas, pois seus perfis de segurança diferem significativamente da posse direta da moeda subjacente.
5. Na Solana, uma conta de token SPL pode designar um delegado autorizado a gastar até um valor determinado, e essa autorização permanece ativa até que o proprietário a revogue; algumas carteiras e exploradores listam essas delegações e podem revogá-las. Os “drainers” da Solana costumam enganar os usuários para que assinem transações que transfiram tokens ou entreguem completamente a autoridade de uma conta de token (lição 7.1.3); portanto, é importante saber quais carteiras assinaram quais aplicações.
6. A etapa final dessa fase de inventário é uma verificação concreta: abra um verificador de aprovação para cada endereço ativo e analise a lista. Qualquer contrato que não esteja sendo usado atualmente para staking, empréstimos ou negociações ativas deve ser sinalizado para revogação. Esse processo transforma uma posse passiva em uma postura de segurança gerida ativamente. O custo são as taxas de gás por revogação; o benefício é fechar portas abertas que não exigem mais interação do usuário para serem exploradas.

Fatos-chave

Exercício nove, seis, três, um

Verificação de fatos

Datas, números e afirmações verificados com as fontes publicadas listadas abaixo.

• Etherscan Token Approval Checker Documentation
• Solana Program Library, Token program documentation (Approve and Revoke instructions)
• ERC-20 Standard Specification: approve() and allowance() functions
• BitGo WBTC Documentation: Wrapped Bitcoin Custody Model