Token izni (approve) nedir, neden süresiz kalır

Kısaca

Bir merkeziyetsiz borsayı, köprüyü veya NFT pazarını ilk kez kullanırken cüzdan genellikle iki imza ister: önce izin (approve), sonra asıl işlem.

İzin, tokenin kendi sözleşmesine şunu yazar: "Şu adres, benim bakiyemden şu tutara kadar harcayabilir." Asıl işlemi yapan sözleşme, sonrasında bu yetkiyi kullanarak tokeni cüzdanınızdan çeker.

Standart ne diyor

Token izni ERC-20 standardında tanımlı (Fabian Vogelsteller ve Vitalik Buterin, 19 Kasım 2015). Standardın approve fonksiyonu için yazdığı tanım şu:

"Allows _spender to withdraw from your account multiple times, up to the _value amount."

Buradaki iki kelime önemli: multiple times, defalarca. İzin tek bir işlemle tükenmiyor. Belirtilen tutar bitene kadar, ya da siz izni geri çekene kadar geçerli kalıyor.

Standart ayrıca allowance fonksiyonunu tanımlıyor: bir adresin sizin bakiyenizden hâlâ ne kadar çekebileceğini döndürüyor. Yani verdiğiniz izinler sorgulanabilir, tahmin etmeye gerek yok.

Neden büyük tutarlar isteniyor

Arayüzler çoğu zaman "sınırsız" ya da çok yüksek bir tutar için izin ister. Sebebi teknik ve masumdur: her işlemde yeniden izin almak kullanıcıya ek bir işlem ve ek ücret çıkarır.

Bedeli ise şudur: verilen yetki, işlem bittikten sonra da durur. Cüzdanınızda o tokenden ne kadar varsa, izin tutarına kadar olan kısmı o sözleşmenin erişimine açık kalır, bugün değil, aylar sonra da.

Standardın kendi uyarısı

ERC-20, izin değiştirmenin bir saldırı yüzeyi olduğunu kendi metninde söylüyor: bir adres için izni başka bir değere çekmeden önce arayüzlerin izni önce sıfıra çekmesi gerektiğini yazıyor.

Bu, standardın on yıl önce yazılmış bir notu ve bugün hâlâ geçerli. Bir cüzdan arayüzünün izni doğrudan yeni değere yazması, standardın tavsiye etmediği bir davranış.

Nasıl kontrol edilir

İzinler zincirde okunabilir veridir. Kontrol ederken bakılan üç şey:

1. Hangi token için verilmiş. İzin token bazındadır; bir token için verilen yetki diğerini kapsamaz.
2. Hangi adrese verilmiş. Yetkiyi alan sözleşmenin adresi. Proje adı değil, adres.
3. Tutar ne. Sınırsıza yakın bir tutar mı, işlem kadar mı.

Bu üçü zincirden okunabildiği için, bir iznin varlığı tartışma konusu değildir: ölçülebilir.