去年底，一位做NFT的朋友在tpwallet里点了一个“免费mint”链接，页面和项目官网几乎一模一样吧？钱包弹窗跳出“授权”请求了，他扫了一眼合约地址。
觉得尾号对得上就点了确认。几分钟后吧？钱包里的USDC被划走。这个案例就是链上授权被滥用。tpwallet的弹窗其实把合约地址、授权额度、方法名都摆了出来，问题在于多数人把弹窗当成广告关掉。我一直觉得钱包安全的上限不取决于UI多漂亮，但取决于用户是否愿意读那三行小字呢？朋友后来复盘，说自己当时急着抢白名单，根本没注意授权额度是“无限”。
这类失误在链上不会给第二次确认机会了。另一个用户的做法更值得看。他把tpwallet当日常热钱包，只放几百U的零钱吧？
大额资产放在硬件钱包。每周他会进tpwallet的“授权管理”清一遍。有次发现一个陌生合约挂着无限额度，直接撤销的。这个入口藏得有点深，在安全设置里翻两层才能找到的。安全功能做得深，用户找不到的，效果就打折。tpwallet的助记词备份提示足够频繁，可人备份后截图丢进网盘，等于把钥匙复制一份放在门口的。手机银行转账有二次确认、有单笔限额，链上钱包把最终责任交回私钥持有人，tpwallet更像一把瑞士军刀，功能多的，每多一个DApp入口，就多一条钓鱼路径。
这个判断不带情绪，是我用了三年热钱包后的真实感受。他给我的解释很朴素，热钱包就是出门带的零钱，丢了不伤筋动骨。
把tpwallet当日常热钱包的，只放小额资产，大额资产走硬件钱包，我目前能接受的折中。每次签名前看三件事了，合约地址是否熟悉、授权额度是不是无限、方法名是不是approve呢？tpwallet的弹窗里信息都有，只是字体小，得逼自己停下来的。还有个细节。有用户把tpwallet的网络切换当成普通设置，在错误链上交易，资产显示为零了，慌了半小时。多链支持带来便利，也带来链选择错误。
我自己也犯过链切换的错，把常用网络固定在列表前排，少点一次是一次。钱包厂商能做的是把风险提示做得更“烦人”一点，用户能做的是把“慢一点”变成习惯。这比任何安全口号都管用。
