签名、授权与事故处置

在确认之前先说清这是什么操作

有四件完全不同的事被笼统地塞进了连接钱包这句话里，而它们的后果天差地别。连接通常只是暴露你选定的一个公开地址——它后果最轻，却是大家最担心的那一个。

消息签名可以在不转移任何东西的情况下证明你控制某个地址，所以它被用来登录。它也可以对结构化数据授权，而那些数据的含义从显示的文字里未必看得出来——一些危害最大的攻击正是这样运作的：提示框看起来像一次无害的登录，实际授出的却是别的东西。

代币授权给予某个合约持续的权限，可以在额度之内从你的地址动用某个代币，直到被撤销为止。你签名的那一刻它并不转移任何东西，而这恰恰是它危险的地方——后果稍后才到来，而且不再需要你做任何动作。交易则是直接的那一类：现在就转移资产或调用代码。

读权限范围，而不是读品牌

对任何提示框，真正要紧的字段是：网络、被调用的合约、获得权限的被授权方、金额或额度、目标地址、被调用的方法，以及手续费上限。各家钱包展示这些信息的清晰程度不一，有些需要展开详情面板才看得到。

很多界面默认使用无限额授权，因为这样用户日后不必再授权一次。代价是这个合约可以无限期地从你的地址动用那个代币，于是合约、管理员密钥或前端界面日后任何一次被攻破，都会波及你持有的全部该代币。授权一个具体金额会稍微麻烦一点，但暴露面小得多。

硬件钱包解决不了这个问题。它保护密钥不被取走，而你确认什么它就签什么。如果请求本身就在索要过大的权限，硬件会忠实地把这个请求签掉。设备提升的是密钥安全，不是判断力。

先止损，不要临场发挥

出事之后本能是赶紧行动，而仓促的临场发挥通常会把事情弄得更糟。请改为按一个固定顺序处理。

第一，停止签名、停止发送——不再有任何授权、不做试探性交易、不再与该站点交互。第二，弄清究竟授出了什么权限，使用一个你独立找到的、经过核实的授权查询工具，而不是别人递给你的链接。第三，如果密钥仍然只在你手里，撤销不必要的授权。第四，如果助记词本身可能已经泄露，那么撤销是不够的：资产必须转移到一个在你信任的设备上新生成的钱包，而转移本身需要手续费资产，这些资产可能同样处于风险之中。

整个过程中都要保存证据——交易哈希、确切域名、截图、时间戳——并通过你自己找到的渠道联系钱包方或平台。不要照着主动送上门的追回指示操作，也要意识到公开求助会在几分钟内引来冒充者。

• 断开可疑站点，停止一切签名。
• 用你独立找到的工具复查授权。
• 趁密钥仍然只属于你，撤销不必要的权限。
• 如果助记词可能已泄露，就迁移而不是撤销。
• 在做别的事情之前，先保存哈希、域名和截图。
• 通过独立核实过的渠道举报欺诈。