阿杰凌晨两点打开TPWallet，发现USDT余额少了1200个。交易记录里躺着一笔“Approve”操作，收款方是个陌生合约地址。他愣了几秒吧？想起三天前在电报群点过一个“领取空投”链接，连了钱包。弹窗里点了个“确认”。当时没输密码，他以为只是签名登录，没当回事。
那笔签名就是授权。恶意合约拿到了他的USDT无限调用权。随时可以转走。链上数据显示，对方在他睡觉时发起了转账。
有些人只盯着转账记录，忽略了授权记录。授权更像把家门钥匙配了一把给陌生人，他不需要你每次开门了，自己就能进来。阿杰打开TPWallet，在“我的”页面翻到“授权管理”。列表里果然有个高风险授权了，额度写着“无限”。他点取消，系统提示需要0.002 BNB作为矿工费了。
钱包里BNB不够了，他赶紧从交易所转了10U的BNB过来。重新操作。确认取消。几分钟后链上显示成功吧？
那个恶意合约再也没法动他剩下的USDT。TPWallet取消恶意授权这个动作，他事后说，比想象中简单的，当时手是抖的。我看了他的授权记录，发现还有两个不认识的DApp。他全取消了。个人习惯，每次领空投或连新网站后，用TPWallet的授权检测扫一遍。不要等币没了才翻记录。
恶意授权不会立刻掏空你。会像定时炸弹，你永远不知道对方什么时候动手啊？
