Как проверить контракт в Etherscan перед подписью в MetaMask

MetaMask показывает адрес контракта в окне подтверждения транзакции — он выделен синим как кликабельная ссылка. Нажмите на адрес, откроется Etherscan. Альтернатива: скопируйте адрес вручную и вставьте в строку поиска etherscan.io. В Etherscan перейдите во вкладку «Contract» → «Code» для просмотра исходника. Нюанс: для сетей кроме Ethereum используйте соответствующие эксплореры — BscScan для BSC, Polygonscan для Polygon, Arbiscan для Arbitrum.

Верифицированный контракт — тот, чей исходный код Solidity загружен в Etherscan и совпадает с задеплоенным байткодом. Это позволяет читать функции на человекочитаемом языке, а не в виде бинарного кода. Невалидированный контракт показывает только байткод — декодировать его без специальных инструментов невозможно рядовому пользователю. Правило: если контракт не верифицирован, а сайт предлагает с ним взаимодействовать — это красный флаг. Легитимные протоколы верифицируют контракты публично.

Четыре категории опасных функций: transferFrom или safeTransferFrom с внешними адресами-получателями — могут перемещать токены без явного подтверждения; approve или setApprovalForAll с неограниченным лимитом (type(uint256).max); функции с именами drain, withdraw, sweep, rescue, emergencyWithdraw, доступные владельцу без ограничений; selfdestruct — уничтожение контракта с выводом ETH на адрес владельца. Риск: мошенники маскируют функции под безобидные имена вроде claimReward или mint — читайте тело функции, не только название.

В MetaMask перед подписью проверьте поле «Spending cap»: если там стоит максимальное значение или «Unlimited» — контракт запрашивает неограниченный доступ к токенам. В Etherscan найдите функцию approve в коде: параметр amount со значением type(uint256).max или константой 2^256-1 означает неограниченный approval. Безопаснее устанавливать лимит вручную в MetaMask — только на сумму текущей транзакции. После взаимодействия с протоколом отзывайте approval через revoke.cash. Риск: даже легитимные протоколы часто запрашивают unlimited approval для удобства.

Да — несколько инструментов делают базовый анализ автоматически: De.fi Shield (бывший Unrekt) анализирует контракт и выдаёт список рисков; Token Sniffer проверяет токен-контракты на honeypot и скрытые функции; Tenderly позволяет симулировать транзакцию и увидеть, что реально произойдёт до подписи. Rabby Wallet встраивает симуляцию прямо в кошелёк. Нюанс: автоматические инструменты ловят известные паттерны, но не нестандартные схемы — комбинируйте их с ручной проверкой для крупных сумм.

Немедленно откройте revoke.cash, подключите кошелёк и отзовите все approvals, выданные скомпрометированному контракту. Если токены уже списаны — транзакция в блокчейне необратима. Переведите оставшиеся средства на новый адрес, если подозреваете, что контракт имеет отложенную drain-функцию. Зафиксируйте адрес контракта и хэш транзакции для заявления в полицию. Сообщите об инциденте в ScamSniffer через GitHub — это поможет добавить адрес в базу.

Базовый уровень не требует знания Solidity: достаточно понимать, что функции с именами drain/sweep/withdraw и модификатором onlyOwner означают право владельца вывести средства. Для глубокого анализа знание Solidity помогает, но для первичной проверки красных флагов достаточно поиска по ключевым словам.