Per fare trading o staking sulla maggior parte dei protocolli, prima autorizzi il contratto a muovere il token al posto tuo. È normale e necessario. Il problema è il default: molte app chiedono un'approval illimitata che non scade mai, così il contratto conserva il permesso di muovere quel token molto dopo che hai finito di usarla.
Se quel contratto viene sfruttato in seguito, o era maligno fin dall'inizio, l'approval ancora attiva è la porta da cui entra. All'attaccante non serve la tua seed phrase. Il permesso che hai già firmato basta a drenare il token approvato. È uno dei modi più comuni in cui i wallet con fondi perdono soldi senza mai subire un phishing diretto.
La soluzione è igiene, non paura. Approva solo l'importo che ti serve quando l'app lo consente, e fai il revoke delle approval che non usi più. Rivedere la superficie di approval di un indirizzo mostra quali contratti hanno ancora il permesso, così puoi chiudere quelli che non si guadagnano più il posto.