Přeskočit na obsah
Trading Academy
Podpořit (otevře se v nové záložce)

Lekce 6 z 16 · 3 min čtení

Tokeny, NFT a povolení

Co jsou tokeny ERC-20 a NFT, proč aplikace chtějí povolení k utrácení tvých tokenů, proč je neomezené povolení riziko a jak podpisy typu Permit zneužívají podvodníci.

Na této stránce

V této lekci

  • zjistíš, co jsou tokeny ERC-20 a NFT
  • pochopíš, proč aplikace žádají o povolení k tvým tokenům
  • naučíš se povolení kontrolovat a rušit – a poznat nebezpečný podpis

Když dáš řidiči v hotelu klíče od auta, aby ho zaparkoval, čekáš, že ho zaparkuje. Ne že s ním odjede na dovolenou. Povolení k tokenům na Ethereu funguje podobně – jen klíče často dostane někdo, koho jsi nikdy neviděl, a navíc napořád.

povolení: ∞Jen zaparkovat!
Neomezené povolení je jako předat klíče napořád. Ta, která nepotřebuješ, zruš.

Tokeny ERC-20#

Většina tokenů na Ethereu – USDC, USDT, tokeny projektů – se řídí standardem ERC-20. Token je ve skutečnosti chytrý kontrakt s tabulkou „kdo má kolik“. Když posíláš token, nepohybuješ mincí, jen žádáš kontrakt, aby přepsal tabulku.

Pozor na falešné tokeny. Kdokoli může vytvořit token s názvem „USDC“. Pravý poznáš jen podle adresy kontraktu – ověř ji na webu vydavatele nebo v průzkumníku bloků.

NFT#

NFT se řídí standardy ERC-721 nebo ERC-1155. Každý kus má vlastní číslo, takže jeden není zaměnitelný za druhý. V NFT bývá jen odkaz na obrázek, který leží jinde – když server s obrázkem zmizí, NFT zůstane, ale obrázek ne.

Povolení k utrácení#

Když chceš vyměnit USDC za ETH na směnárně, směnárna si tvoje USDC musí „vzít“. K tomu potřebuje povolení (approve): podepíšeš transakci, že kontrakt směnárny smí z tvého účtu utratit až určitý počet tokenů.

Mnoho aplikací chce pro pohodlí neomezené povolení, abys ho nemusel dávat znovu. Jenže to povolení platí, dokud ho nezrušíš. Když kontrakt později někdo napadne, útočník ti může vybrat všechny tokeny toho druhu – i za rok.

Podpisy, které nevypadají jako transakce#

Některá povolení nejsou transakce, ale jen podpis zprávy (Permit, Permit2). Nestojí nic, peněženka ukáže změť textu – a podvodníci toho zneužívají. Podepíšeš „přihlášení“ na falešném webu a ve skutečnosti dáš povolení k tokenům. Podle firmy ScamSniffer šlo v roce 2025 o 38 % ztrát při velkých krádežích přes podepisování.

Než podepíšeš

  • Čti, co peněženka ukazuje: „povolit“, „Permit“, „setApprovalForAll“ = někdo dostává přístup k tvým tokenům.
  • Na webech, kam ses dostal přes reklamu nebo zprávu, nepodepisuj nic.
  • Když nerozumíš, co podepisuješ, nepodepisuj.

Jak povolení zkontrolovat a zrušit#

V průzkumníku Etherscan (sekce Token Approvals) nebo v nástrojích jako revoke.cash zadáš svou adresu a uvidíš všechna povolení. Zbytečná zruš – zrušení je transakce a stojí malý poplatek. Udělej to i na druhých vrstvách, kde aplikace používáš.

Časté omyly#

  • „Token s názvem USDC je USDC.“ Pravý je jen ten s ověřenou adresou kontraktu.
  • „Podpis bez poplatku je neškodný.“ Podpis Permit může dát přístup ke všem tvým tokenům.
  • „Povolení vyprší samo.“ Neomezené povolení platí, dokud ho nezrušíš.

Shrnutí

  • Token ERC-20 je kontrakt s tabulkou zůstatků; pravý poznáš podle adresy kontraktu.
  • NFT je jedinečný token, obrázek bývá uložený jinde.
  • Povolení dává kontraktu právo utrácet tvoje tokeny – neomezené platí napořád.
  • Podpisy Permit jsou oblíbený nástroj podvodníků; povolení pravidelně kontroluj a ruš.