Ключ при этом никто не крадёт. Вы сами выдаёте чужому контракту право распоряжаться вашим токеном, и дальше он этим правом пользуется — столько раз, сколько захочет.
Как это работает
В стандарте токена есть разрешение: владелец называет адрес и сумму, до которой тот может забирать токены с его кошелька. Право многократное и бессрочное — пока число не обнулено, забрать можно в любой момент. «Бесконечное разрешение», которое просят многие сайты, — просто максимально возможное число.
Дальше ваша подпись не нужна: перевод инициирует сам получатель разрешения. Разборы таких краж показывают, что забирают не сразу: типовой сценарий — подождать, пока на кошелёк придёт свежее пополнение с площадки. Аппаратный кошелёк тут не помогает: ключ никто и не пытался украсть.
Как отозвать
Отзыв — та же операция, но с суммой ноль: обычная транзакция, за которую платится комиссия сети. Путь зависит от сети, и это главное. В сетях семейства Ethereum список разрешений показывают сервис revoke.cash и вкладка проверки разрешений в обозревателе. Смотреть можно просто по адресу, ничего не подключая, а вот отозвать — только подключив тот самый кошелёк: обнулить чужое разрешение нельзя. И сразу включите в сервисе настройку «Show all approvals» — без неё список показан не полностью. Во встроенном виде в MetaMask менеджера разрешений нет — отзыв вынесен в отдельное веб-приложение MetaMask Portfolio. Для TRON эти пути не работают: revoke.cash поддерживает только EVM-сети, а TRON к ним не относится. Там смотрят в самом TronLink — «Wallet Management» → «Approval Management» — или в Tronscan, на странице «ACCOUNT», раздел «LIST OF APPROVAL».
Замер 19 сентября 2026 года: в Ethereum отзыв стоил около четырёх центов, в TRON — около 1,14 доллара за одно разрешение, потому что там действует та же надбавка за перегруженный контракт. Поэтому в TRON чистят по приоритету, начиная с бесконечных разрешений на USDT. И отдельная осторожность: поддельные «сервисы отзыва» сами оказываются дрейнерами — в апреле 2026 года зафиксировано пять таких кампаний, ловивших уже пострадавших.
Чего отзыв не делает
Не возвращает уже выведенное. Это профилактика, а не восстановление; тот, кто обещает вернуть украденное, чаще всего сам мошенник. Но отозвать разрешения, которыми уже воспользовались, всё равно нужно — иначе с того же кошелька заберут ещё раз, как только на нём появятся деньги.
Не помогает, если утекла резервная фраза. Разрешения при этом никуда не делись — бесполезна сама операция: у вора ключ целиком, он подписывает что угодно и безо всяких разрешений. Выход один — новый кошелёк и перенос остатков на него.
Отзыв в одной сети не отзывает в другой. Каждое разрешение действует на один токен в одной сети: обнулив его в Ethereum, вы ничего не изменили в BNB Chain. Проходить приходится по сетям.
И на каждом адресе отдельно. Разрешение привязано к владельцу, поэтому у каждого адреса внутри одного кошелька свой набор — чистить надо все, которыми вы подключались к сайтам.
Зато отзыв не трогает депозиты и стейкинг. На уже внесённые и застейканные токены обнуление разрешений не влияет — опасаться, что чистка сломает ваши позиции, не нужно. Единственное последствие: чтобы довнести в ту же позицию, разрешение придётся выдать заново.
«Отключить кошелёк от сайта» — не отзыв. Отключение убирает доступ сайта к вашему адресу, а выданные разрешения остаются активными.
Обнуление не отменяет уже подписанный, но ещё не исполненный permit — разрешение, выданное подписью без транзакции. Текущее значение разрешения в условия его исполнения не входит, а исполнение перезапишет ваш ноль. Отменяют такую подпись иначе — израсходовав её счётчик собственной транзакцией, и окно для этого маленькое. Если же permit уже исполнен, обычный отзыв работает, и делать надо именно его.
Подробнее: Как хранить резервную фразу, чтобы её не выманили