刚 na meia-noite, vi um aviso de autorização. Cliquei para ver e, pasme, o contrato ainda conseguia movimentar todos os tokens da minha carteira com um valor ilimitado. Acordei na hora: fui correndo revoquei.

Sinceramente, muita gente acha que autorizar é só “assinar um papel e pronto”. Mas, por mais detalhadas que sejam as ferramentas de dados on-chain, elas não conseguem impedir que você mesmo entregue as chaves. Recentemente, todo mundo reclamou que as ferramentas de dados “atrasam”, mas o que realmente deveria ser temido são as permissões que estão nas suas mãos — autorizações com limite ilimitado são como dormir com a porta destrancada; por mais poderosa que seja a ferramenta, não dá para bloquear um “interno” (alguém com acesso).

No fim, agora eu faço o seguinte: depois de cada interação, verifico o registro de autorizações. Se der para revoquei, revoquei. Não deixe para depois. O modelo de tokens é como roupa feita sob medida: se o tamanho não encaixa, dá erro; mas as permissões da sua própria carteira também não precisam ser medidas e conferidas por você?