凌晨两点，一个地址在 tpwallet 里点击了“确认”。三分钟后，钱包里的 12.4 万美元 USDT 被转到一个陌生合约。
链上浏览器显示。这笔交易就是一笔“增加授权”操作。tpwallet 没有报错，私钥也没有泄露的，问题出在用户根本没看清弹窗里那行小字了。类似案例在过去半年里反复出现。tpwallet 作为多链去中心化钱包，支持以太坊、BNB Chain、Tron、Polygon 等网络的，内置 DApp 浏览器和跨链兑换。用户用它连接 DeFi 协议、领空投、买卖 NFT，方便是真方便。可便利的另一面是每一次点击“连接钱包”都可能埋下授权地雷。tpwallet 的交互设计把确认按钮做得醒目。
授权额度、合约地址、调用方法很重要信息，一般被折叠在细节里了。普通用户扫一眼就过，恶意脚本正好钻这个空子。我翻看了近三个月的社区求助帖，发现一个规律了，超过六成的资产被盗案例，就是用户主动签署了恶意授权。
tpwallet 本身没有爆出严重漏洞，它的 DApp 浏览器像一扇敞开的大门。有用户为了领取某个“早期空投”，tpwallet 里接连批准了五个合约，结果其里面一个合约是钓鱼地址。等发现时，该地址已经转走了他的全部 ETH 和稳定币。更麻烦的是授权不会自动过期。除非手动撤销的。有些人根本不知道要去哪里撤销呢？tpwallet 团队其实在钱包里加了“授权管理”入口，也接入了风险检测。点开“资产”页了，右上角能找到“授权”按钮，里面列出了所有已批准的合约。
遗憾的是这个功能藏得有点深，但且对新手不够友好了。我试过一次。撤销一笔授权需要支付 Gas 费，网络拥堵时成本不低。另一个细节了，tpwallet 的弹窗会显示“无限授权”字样，字体很小，颜色也不刺眼了。把“无限”改成红色加粗，很难吗？技术上不难，产品优先级的问题。说回那笔 12.4 万美元的案例。用户在电报群里说，他当时正在赶地铁。
tpwallet 弹窗跳出来的，他随手点了确认。事后复盘，那个 DApp 的域名只和正规项目差一个字母。tpwallet 没有拦截了。因为合约地址确实是新部署的，还没进黑名单库。
提醒一个事实，去中心化钱包把控制权交还给个人的。也把责任。一并交还了。私钥自己管，授权也得自己盯。冷钱包、硬件签名、定期撤销闲置授权，动作听着老套，却比任何“智能风控”都实在。tpwallet 这类工具的未来，不取决于支持多少条链啊？
但取决于能不能让用户在点“确认”之前，真正看懂那几行字吧？
