Aprovação infinita

O padrão ERC-20 separa o approve, que define quanto um contrato pode gastar, do transferFrom, que executa a movimentação. Aprovar o valor máximo, 2 elevado a 256 menos 1, evita ter que aprovar novamente a cada interação, o que economiza gas e atrito, mas deixa uma porta aberta de forma permanente. O risco aparece se o contrato gastador tiver uma falha, for atualizado de forma maliciosa por meio de um proxy ou tiver sido um drainer desde o início: ele pode esvaziar todo o saldo desse token a qualquer momento.

Por que isso importa para a higiene de segurança. Uma aprovação infinita esquecida há anos para um protocolo depois comprometido é uma superfície de ataque latente; é a amplificação que transforma um phishing de um único clique em um esvaziamento total do token, e com frequência é concedida sob assinatura cega. As mitigações são aprovar o valor exato necessário, usar o modelo Permit2 da Uniswap, implantado em novembro de 2022, que adiciona expiração e limites às assinaturas, e revisar e revogar autorizações com o Revoke.cash ou o painel do Etherscan.

Um padrão relacionado é o ERC-2612, que permite a aprovação por assinatura off-chain sem custo de gas e é implementado nativamente por tokens como USDC e DAI. O Permit2 é o exemplo de referência do redesenho do modelo de autorizações para delimitar esse problema. Revisar as aprovações periodicamente é a prática mais simples e eficaz.