토큰 승인 (Token approval)
한눈에 보기 토큰 어프로벌(승인)은 스왑이나 예치 전, 스마트 컨트랙트가 내 지갑에서 정해진 수량의 토큰을 전송할 수 있도록 권한을 부여하는 작업입니다.
이더리움, BNB Chain, Base와 같은 EVM 체인에서는 사용자가 먼저 승인(Approve)하지 않으면 컨트랙트가 지갑에서 ERC-20 토큰을 인출할 수 없습니다. 얼로언스(Allowance)라고도 불리는 어프로벌은 특정 스펜더(Spender) 주소가 정해진 수량 한도 내에서 사용자를 대신해 토큰을 전송할 수 있도록 토큰 컨트랙트에 권한을 부여합니다. DEX에서 첫 스왑을 진행하기 전에 토큰 승인을 요구하는 이유가 바로 이 때문입니다.
기술적으로는 토큰 컨트랙트의 approve(spender, amount) 함수를 호출하여 얼로언스를 기록합니다. 이후 스펜더는 사용자의 추가 컨펌 없이 해당 한도 내에서 언제든 transferFrom을 호출할 수 있습니다. 많은 dApp이 향후 거래 시 가스비를 아끼기 위해 '무제한(Unlimited)' 승인을 요청합니다. 일부 토큰은 온체인 트랜잭션 대신 오프체인 서명으로 승인을 처리하는 Permit 서명을 지원하기도 합니다. 솔라나 역시 위임(Delegate) 시스템을 통해 유사하게 동작하지만, 대개 사용자가 서명하는 단일 트랜잭션 내에서 즉시 토큰 이동이 일어납니다.
어프로벌이 중요한 이유는 권한을 부여한 시점 이후에도 영구적으로 효력이 유지되기 때문입니다. 승인했던 컨트랙트가 악의적이거나 추후 해킹(Exploit)을 당하거나 업그레이드될 경우, 사용한 지 몇 달이 지난 후에도 지갑의 토큰을 탈취당할 수 있습니다. 월렛 드레이너와 피싱 사이트 역시 가장 가치 있는 토큰의 어프로벌이나 Permit 서명을 유도하는 방식을 주로 사용합니다.
dApp에서 수량 지정이 가능하다면 필요한 만큼만 승인하고, 지갑 팝업에 표시되는 스펜더 주소와 수량을 반드시 확인해야 합니다. 특히 Permit 서명 요청은 단순 메시지처럼 보여 무심코 지나치기 쉽지만 자산 접근 권한을 넘겨줄 수 있으므로 각별히 주의해야 합니다. 블록 탐색기의 승인 체커(Approval Checker)나 리보크(Revoke) 도구를 활용해 활성 상태의 승인 내역을 정기적으로 점검하고 사용하지 않는 권한은 취소해야 합니다. 단, 리보크 시 소정의 가스비가 발생합니다.