钱包授权与资产安全

三条完全不同的风险线

助记词、私钥和授权经常被混为一谈，但它们的失守后果不同。助记词泄露等于整组账户全部丢失，无法挽回；私钥泄露只影响对应的单个地址；授权被滥用则是在你不知情的情况下，让某个合约持续有权动用你的某种代币。三者的防护方法也不一样，不能用一套说法覆盖。

授权为什么会长期有效

很多人以为断开网站连接就等于收回权限，实际上断开只是结束了前端会话，链上的授权记录仍然存在。无限额度授权尤其值得注意：它没有金额上限也没有时间限制，只要合约还在，权限就一直在。定期检查授权列表、把长期不用的撤掉，是成本最低的防护动作。

签名不转账，但一样会出事

签名常用于登录和身份验证，本身不直接转移资产，因此很多人对签名弹窗比对交易弹窗放松。问题在于某些签名格式可以授予转账权限，恶意站点正是利用这一点。签之前看清楚请求内容，遇到看不懂的结构化数据就不要签，是唯一可靠的做法。

可以固化下来的几个习惯

用单独的钱包参与高风险活动、主资产放硬件钱包或长期不联网的地址、每次授权后记下来、定期用授权检查工具复查一遍。这些习惯不需要理解底层原理就能执行，而且能挡掉绝大多数常见攻击。下方文章分别展开每一条的具体操作。

建议阅读顺序

第一次接触这个主题，可以按下面的顺序读：

1. 私钥、助记词、钱包地址有什么区别：先分清地址、私钥和助记词各自能做什么，哪些可以公开。
2. 助记词是什么？为什么不能截图或发给客服：助记词能恢复整组账户，任何客服和空投都不会需要它。
3. 钱包授权是什么意思？如何检查和取消 Token Approval：看懂授权和无限额度，学会用 Etherscan、Revoke.cash 检查和撤销。
4. 钱包签名是什么意思？Sign Message 安全吗：签名通常不直接转账，但恶意签名同样会造成损失。
5. 什么是 Wallet Drainer？如何识别钱包盗币网站：识别伪装成空投、Mint 或验证页面的盗币网站。
6. 硬件钱包是什么？新手什么时候需要一个：资产变多以后，再考虑把私钥放到离线设备上签名。
7. 地址投毒是什么？零金额转账骗局与复制地址前的检查：转账前核对完整地址，不要从交易记录里复制。
8. 钱包被盗了怎么办？先判断原因，再按顺序止损：万一出事，先判断原因再止损，并提防追回骗局。