<div class="key-takeaways"><ul><li>การให้สิทธิ์ Token Allowances สะสมเรื่อยๆ กลายเป็นช่องโหว่เงียบในกระเป๋าเงินคริปโต</li><li>สร้างสแกนเนอร์ตรวจจับความเสี่ยงด้วย Python และ Web3.py ตรวจสอบแอดเดรสของคุณ</li><li>จำแนกความเสี่ยงตามวงเงินอนุมัติและสถานะของ Spender ว่าเป็นสัญญาอัจฉริยะหรือไม่</li><li>สร้างธุรกรรมเพื่อเพิกถอน (Revoke) สิทธิ์ความเสี่ยงสูงได้ทันที</li></ul></div><p>ทุกครั้งที่คุณทำธุรกรรมสวอปโทเค็นบน Uniswap หรือฝากสินทรัพย์เข้าสู่โปรโตคอล DeFi คุณมักจะต้องให้สิทธิ์การใช้งานที่เรียกว่า ERC-20 token allowances ซึ่งเป็นการอนุญาตให้สมาร์ทคอนแทรคสามารถใช้จ่ายโทเค็นในกระเป๋าของคุณได้ ผู้ใช้งานส่วนใหญ่มักสะสมการให้สิทธิ์เหล่านี้ไว้จำนวนมากโดยไม่รู้ตัว หลายรายการกำหนดวงเงินไว้แบบไม่จำกัด (Unlimited amounts) ซึ่งกลายเป็นพื้นที่โจมตีแบบเงียบๆ หากสมาร์ทคอนแทรคตัวนั้นถูกแฮกหรือถูกเจาะระบบ ผู้โจมตีจะสามารถสูบสินทรัพย์ออกจากกระเป๋าของคุณได้ทันทีโดยไม่ต้องใช้ private key ของคุณเลย</p><p>ในบทความนี้ เราจะมาสร้างระบบสแกนตรวจสอบสิทธิ์อัตโนมัติด้วยภาษา Python และ Web3.py ซึ่งจะทำหน้าที่ตรวจสอบประวัติการอนุมัติทั้งหมดในแอดเดรสของคุณ ชี้เป้ารายการที่มีความเสี่ยง และสร้างธุรกรรมเพื่อเพิกถอนสิทธิ์เหล่านั้นออกไป เริ่มต้นด้วยการติดตั้งไลบรารีที่จำเป็นผ่านคำสั่ง pip install web3 requests eth-account จากนั้นเข้าสู่ขั้นตอนการดึงข้อมูลเหตุการณ์การอนุมัติ (Approval events) ผ่านทาง Etherscan API สำหรับโทเค็น ERC-20 ทั้งหมด</p><div class="mb-20"><img class="img-bdrd-16" src="https://api.inewgen.co/uploads/erc_20_allowance_python_ms46v4ji_inline_1_36bf51bc30.png" alt="python developer workspace code editor" loading="lazy" /><p class="color-gray-500 text-sm mt-10">ภาพประกอบจากคลังภาพสต็อก ไม่ใช่ภาพจากเหตุการณ์จริง</p></div><p>ขั้นตอนสำคัญต่อมาคือการจำแนกประเภทความเสี่ยงของสิทธิ์แต่ละรายการ โดยใช้ฟังก์ชัน classify_allowance ในการตรวจสอบ ซึ่งจะใช้ค่า MAX_UINT256 เป็นเกณฑ์ หากวงเงินอนุมัติเท่ากับค่านี้ ระบบจะระบุระดับความเสี่ยงเป็น high พร้อมให้เหตุผลว่า Unlimited approval นอกจากนี้ยังตรวจสอบว่า Spender เป็นสมาร์ทคอนแทรคที่ได้รับการตรวจสอบแล้วหรือไม่ หากโค้ดของ Spender เป็นค่าว่าง (EOA หรือบัญชีผู้ใช้ทั่วไปไม่ใช่คอนแทรค) ระบบจะยกระดับความเสี่ยงเป็น critical ทันที พร้อมแปลงหน่วยตัวเลขให้มนุษย์อ่านเข้าใจง่ายหรือแสดงผลเป็นเครื่องหมายอินฟินิตี้สำหรับวงเงินไม่จำกัด</p><div class="ai-insight"><p>การทำ Token Allowance Audit ถือเป็นมาตรการความปลอดภัยที่ผู้ใช้ DeFi ทุกคนควรทำเป็นประจำ เนื่องจากโปรโตคอลจำนวนมากมักขอสิทธิ์การใช้โทเค็นแบบถาวรหรือวงเงินสูงสุดเผื่อไว้สำหรับอนาคต การใช้สคริปต์อัตโนมัติอย่าง Python ช่วยให้เราสามารถตรวจสอบแอดเดรสหลายรายการได้อย่างรวดเร็ว แทนที่จะต้องกดเช็คผ่านเว็บไซต์ทีละรายการ ซึ่งช่วยลดความเสี่ยงจากการถูกโจมตีผ่านสิทธิ์ค้างเติ้งเหล่านี้ได้อย่างมีประสิทธิภาพ</p></div><p>เมื่อเราสามารถระบุรายการอนุมัติที่มีความเสี่ยงได้แล้ว ขั้นตอนถัดไปคือการสร้างฟังก์ชันเพิกถอน (Revoke Function) เพื่อส่งคำสั่งบล็อกหรือยกเลิกสิทธิ์การเข้าถึงเหล่านั้น โค้ดต้นฉบับทั้งหมดเปิดให้ใช้งานบน GitHub ของ Byaigo โดยคุณสามารถโคลนโปรเจกต์มาลองรันสแกนเนอร์กับแอดเดรสของคุณเองเพื่อตรวจสอบสิทธิ์ที่คุณเคยให้ไว้ตลอดหลายปีที่ผ่านมา ซึ่งคุณอาจจะต้องประหลาดใจกับสิ่งที่พบเจอ</p><p class="source-attribution">ที่มา: <img src="https://www.google.com/s2/favicons?domain=dev.to&sz=64" alt="Dev.to" class="source-logo" width="16" height="16" /> <a href="https://dev.to/byaigo/building-an-automated-token-allowance-scanner-detect-and-revoke-risky-erc-20-approvals-with-python-mf9" target="_blank" rel="noopener noreferrer">Dev.to</a></p>

<div class="key-takeaways"><ul><li>Accumulated token allowances create a silent attack surface in crypto wallets over time.</li><li>Build an automated risk scanner using Python and Web3.py to audit your addresses.</li><li>Classify risks based on approval amounts and whether the spender is a verified contract.</li><li>Generate revocation transactions directly to remove high-risk permissions.</li></ul></div><p>Every time you swap tokens on Uniswap or deposit into a DeFi protocol, you grant ERC-20 token allowances — permissions that let smart contracts spend your tokens. Most users accumulate dozens of these approvals over time, many with unlimited amounts, creating a silent attack surface. A compromised contract with an active allowance can drain your wallet without needing your private key.</p><p>In this article, we build an automated allowance scanner with Python and Web3.py that audits every approval across your address, identifies risky ones, and generates revocation transactions. To get started, run pip install web3 requests eth-account, and begin by querying the Etherscan API for Approval events across all ERC-20 tokens.</p><div class="mb-20"><img class="img-bdrd-16" src="https://api.inewgen.co/uploads/erc_20_allowance_python_ms46v4ji_inline_1_36bf51bc30.png" alt="python developer workspace code editor" loading="lazy" /><p class="color-gray-500 text-sm mt-10">Stock photo for illustration only, not from the actual event</p></div><p>The core logic involves classifying each allowance using a custom function. It checks if the amount equals MAX_UINT256, flagging it as high risk with an Unlimited approval reason. Furthermore, it checks if the spender is a verified contract by retrieving its code; if the spender code is empty indicating an EOA rather than a contract, the risk level escalates to critical. The function then fetches the token symbol and converts the amount from wei into a readable format or an infinity symbol for unlimited allowances.</p><div class="ai-insight"><p>Conducting regular token allowance audits is an essential security practice for active DeFi participants. Many protocols request unlimited spending caps for convenience, leaving permissions active long after users stop interacting with them. Utilizing an automated Python script allows for efficient, programmatic auditing across multiple addresses compared to manual web-based revocation tools.</p></div><p>Once we identify risky allowances, we can proceed to build the revocation function to generate transactions that revoke those permissions. The full source code is available on GitHub by Byaigo — clone it, run the scanner against your own addresses, and audit what you have approved over the years. You might be surprised by the results.</p><p class="source-attribution">Source: <img src="https://www.google.com/s2/favicons?domain=dev.to&sz=64" alt="Dev.to" class="source-logo" width="16" height="16" /> <a href="https://dev.to/byaigo/building-an-automated-token-allowance-scanner-detect-and-revoke-risky-erc-20-approvals-with-python-mf9" target="_blank" rel="noopener noreferrer">Dev.to</a></p>

medium_erc-20-allowance-python-ms46v4ji.jpg

small_erc-20-allowance-python-ms46v4ji.jpg

thumbnail_erc-20-allowance-python-ms46v4ji.jpg

Inewgen

Inewgen

#ERC-20

Building an Automated Token Allowance Scanner with Python

Inewgen