Een cryptowebsite verdwijnt uit je lijst met verbonden toepassingen, maar daarmee is een eerder gegeven tokenmachtiging niet verdwenen. De websiteverbinding en de toestemming om tokens te verplaatsen zijn twee verschillende zaken. Wie alleen op loskoppelen klikt, kan dus een toegang beëindigen terwijl een andere toegang blijft bestaan.
| Wat je moet weten |
|---|
| Een tokenmachtiging geeft een toepassing toestemming om bepaalde tokens namens jou te verplaatsen. |
| Een wallet loskoppelen van een website trekt een bestaande tokenmachtiging niet in. |
| Het intrekken van een tokenmachtiging gebeurt op de blockchain en kost daarom gas. |
| Een onbeperkte machtiging kan alle tokens van het toegestane type aan risico blootstellen. |
Welke toegang beëindig je?
MetaMask maakt in zijn officiële uitleg onderscheid tussen een verbinding met een gedecentraliseerde toepassing, of dapp, en een tokenmachtiging. Een verbinding kan een website toegang geven tot je openbare adres, saldo en activiteit. Welke mogelijkheden precies verdwijnen bij loskoppelen, hangt af van de oorspronkelijke toestemming. Een transactie mogen voorstellen is bovendien iets anders dan die zelfstandig mogen uitvoeren.
Een tokenmachtiging gaat verder. Daarmee mag een bepaald contract tokens namens je account verplaatsen, binnen de gegeven toestemming. Bij een gedecentraliseerde beurs kan zo’n machtiging nodig zijn om een aangevraagde ruil uit te voeren. Het sluiten van de website verandert die eerder vastgelegde bevoegdheid niet.
De nuttige controlevraag is daarom niet alleen of een website nog verbonden is. Controleer ook aan welk contract je welke tokenmachtiging hebt gegeven. Een lege lijst met websiteverbindingen en een bestaande machtiging kunnen tegelijk kloppen: ze beschrijven verschillende soorten toegang.
Intrekken vereist een transactie
MetaMask verwijst voor het bekijken en intrekken van machtigingen onder meer naar de machtigingencontrole van de blockchainverkenner voor het gebruikte netwerk. De documentatie noemt daarvoor Etherscan, BscScan en Polygonscan. Controleer het netwerk en de betreffende tokenmachtiging voordat je een intrekking bevestigt; een overzicht van websiteverbindingen beantwoordt deze vraag niet.
Omdat de machtiging op de blockchain staat, moet ook de intrekking daar worden verwerkt. Daarvoor betaal je gas. Dat verklaart waarom loskoppelen en intrekken ook een verschillende handeling kunnen vragen: bij de ene wijzig je de verbinding met een website, bij de andere een vastgelegde bevoegdheid om tokens te verplaatsen.
De omvang van die bevoegdheid doet ertoe. MetaMask waarschuwt dat een onbeperkte machtiging een aanvaller of kwaadwillende contractbeheerder toegang kan geven tot alle tokens waarvoor die toestemming geldt. Dat betekent niet automatisch alle verschillende munten in dezelfde wallet. Beoordeel de betrokken token en de toegestane bestedingsruimte, in plaats van iedere machtiging als een identieke toegang te behandelen.
Een machtiging intrekken haalt eerder verplaatste tokens niet terug. De controle is gericht op de nog bestaande toestemming. Wie de toepassing later opnieuw gebruikt, moet ook een nieuw verzoek om een machtiging opnieuw beoordelen; het eerdere opruimen maakt een volgende toestemming niet vanzelf veilig.
