Je kent het wel: je wilt een nieuwe token kopen op een DEX of meedoen aan een staking-pool. Je wallet geeft een pop-up: "Allow this site to spend your USDT?". Je klikt op 'Approve', bevestigt de transactie en gaat verder met je dag.

Wat er op de achtergrond gebeurt, is dat je een allowance (toestemming) afgeeft. Je zegt eigenlijk tegen een smart contract: "Jij mag tot dit bedrag tokens uit mijn wallet halen wanneer dat nodig is." Super handig voor DeFi, maar levensgevaarlijk als je de verkeerde persoon toestemming geeft.

Het gevaar van de "onbeperkte" toestemming

Het probleem is dat veel platformen standaard vragen om een unlimited allowance. Ze doen dit voor jouw gemak, zodat je niet bij elke kleine swap opnieuw hoeft te 'approven'. Maar hier schuilt het addertje: die toestemming blijft voor altijd in de blockchain staan. Ook als je de website afsluit of je computer uitzet.

Scammers maken hier misbruik van door je naar een malafide site te lokken (bijvoorbeeld voor een "gratis airdrop"). Je denkt dat je alleen een transactie tekent om iets te claimen, maar in werkelijkheid geef je de scammer toestemming om al je tokens op een later moment — wanneer jij rustig ligt te slapen — uit je wallet te trekken.

Waarom deze scam zo verraderlijk is

Bij een normale diefstal zie je direct dat je geld weg is. Bij een approve-scam kan je wallet maandenlang veilig lijken. De scammer wacht simpelweg tot je een groter bedrag in die specifieke token op je wallet hebt staan, en slaat dan pas toe. Omdat jij ooit die "handtekening" hebt gezet, ziet de blockchain dit als een legale transactie. Je bent dus niet "gehackt" in de traditionele zin; je hebt de dief zelf binnengelaten.

Hoe houd je je wallet schoon?

Zie je wallet-beheer als een vorm van digitale hygiëne. Je moet af en toe de bezem erdoorheen halen.

• Geen 'Unlimited' meer: Als een site vraagt om toestemming, kun je in je wallet (zoals MetaMask of Rabby) handmatig het bedrag aanpassen. Wil je voor $100 swappen? Geef dan toestemming voor exact $100, en geen cent meer.
• De grote schoonmaak (Revoken): Er zijn tools zoals Revoke.cash of de ingebouwde functies in block-explorers (zoals Etherscan) waarmee je kunt zien wie er nog allemaal toestemming hebben om aan jouw tokens te zitten. Zie je een site die je niet meer gebruikt? Trek die toestemming direct in (revoke).
• Check de chain: Onthoud dat toestemmingen per netwerk werken. Heb je op Ethereum iets goedgekeurd? Dan staat dat los van je approvals op Polygon of BSC. Check ze allemaal.

Let op deze rode vlaggen

Vertrouw je onderbuikgevoel. Scammers gebruiken vaak psychologische trucjes:

1. Tijdsdruk: "Claim je tokens binnen 2 uur, anders vervallen ze!"
2. Vreemde combinaties: Waarom zou een NFT-site toestemming nodig hebben voor je USDC of USDT?
3. Meerdere pop-ups: Als een site je vraagt om achter elkaar 3 of 4 verschillende 'approvals' te tekenen, stop dan direct.

Heb je het vermoeden dat er iets mis is?

Heb je op een vage link geklikt of zie je in je geschiedenis approvals staan die je niet herkent? Wacht niet tot de scammer toeslaat.

1. Revoke direct alle verdachte allowances via een vertrouwde tool.
2. Verplaats je belangrijkste assets naar een nieuwe, "schone" wallet als je het niet vertrouwt.
3. Vraag om hulp.

Bij Chainhunters weten we precies hoe we deze malafide contracten kunnen opsporen. Heb je hulp nodig bij het veiligstellen van je funds of wil je dat we een verdachte transactie voor je uitzoeken?

Neem contact met ons op via:

• E-mail: info@chainhunters.nl
• Start een onderzoek via onze aangifte pagina