代币授权与撤销：钱包被"合法"清空的原因
代币授权让合约无需再次询问就能转走你的代币。只授权需要的数量、看清签名内容，并定期撤销不再使用的授权。
直接答案：代币授权是你签署的一份许可，允许某个智能合约日后直接从你的钱包转走指定代币，而不需要再问你。很多钱包被清空并不是助记词泄露，而是受害者自己签了授权或 Permit 签名。只授权需要的数量、看清每一次签名请求，并撤销不再使用的授权。
授权是什么：用大白话说
在以太坊及类似公链上，USDC、USDT 这类代币遵循一套叫 ERC-20 的通用规则。智能合约是部署在区块链上的程序（参见什么是智能合约）。当你在去中心化交易所（DEX）兑换时，DEX 合约需要从你的钱包里把代币拿走。它默认没有这个权限，所以会先请求你的授权。
根据 EIP-20 标准（2026-11-01 核对），approve 允许一个指定的被授权方（spender）在授权数量以内"多次"从你的账户提取代币，剩余的可用额度叫做额度（allowance）。被授权方之后调用 transferFrom 转走代币。再次调用 approve 会直接覆盖旧额度。
关键在于：额度一旦存在，被授权方就不再需要你的签名。它会一直有效，直到被用完或被你修改，哪怕你再也不访问那个网站。
"合法"清空是怎么发生的
很多 DApp 默认请求无限授权（代币支持的最大数值），这样你每次交易都不用重新授权。方便的代价是：
- 如果被授权的合约后来被黑或存在漏洞，攻击者可以在任何时候转走你持有的全部该代币，包括几个月后才存进来的。
- 如果你在钓鱼网站上授权了恶意合约，它可以立即拿走代币。链上看起来只是一笔正常的、经过授权的转账，所以感觉像是"合法"的。
还有一条很多新手忽略的路径。EIP-2612 的 Permit 让你只需签一条链下消息就能设置额度（2026-11-01 核对）。你不用发交易、不用付 Gas，任何拿到签名的人都可以把它提交上链。所以一个只写着"签名"的弹窗，同样可能交出你的代币。凡是提到 spender、数量、截止时间或 Permit 的签名，都要当作授权来对待。
有限授权与无限授权：算一笔账
假设钱包里有 2,000 USDC，你想在 DEX 上兑换 500 USDC。
| 选择 | 兑换后剩余额度 | 若 DEX 合约日后被攻击的损失范围 | 额外成本 |
|---|---|---|---|
| 无限授权 | 近乎无限 | 钱包里全部 USDC，包括以后存入的 | 以后不再需要 |
| 精确授权 500 | 0 | 这笔授权不会带来损失 | 下次需要重新授权（Gas） |
| 精确授权后再撤销 | 0，并记录为已撤销 | 无 | 一笔撤销交易（Gas） |
| 在假网站签了 Permit | 以签名内容为准 | 立即损失至签名数量 | 直到代币被转走 |
安全的代价只是每次授权多付一笔网络费。你可以用以太坊 Gas 计算器估算，费用如何计算见以太坊 Gas 费用一课。
一步一步：安全授权并清理旧授权
- 连接钱包前确认你在真实网站（使用书签，不点广告或私信链接），检查方法见防钓鱼课程。
- 授权弹窗出现时，看清被授权地址和数量。多数钱包允许修改数量，把它改成这次要用的金额。
- 如果请求让你签名一条消息，留意 Permit、spender、value、deadline 等字样。如果你并没打算授予转账权限，直接拒绝。
- 交易结束后打开授权检查工具。Etherscan 的 Token Approval Checker（2026-11-01 核对）会列出你地址上的 ERC-20、ERC-721（NFT）和 ERC-1155 授权，并提供撤销按钮。
- 撤销所有不再使用的授权。撤销是一笔把额度设为零的链上交易，需要 Gas，确认前在钱包里看清费用。
- 每月复查一次，遇到可疑情况立即复查。授权按链分别存在，用过的每条链都要单独检查。
常见错误与风险
- 事后才撤销。撤销只能阻止以后的转出，已经被转走的代币拿不回来。怀疑授权有问题时要快。
- 相信私信里的"撤销链接"。假冒的撤销网站本身就是盗币手段，请手动输入你早已熟悉的工具地址。
- 以为失败或被拒就不花钱。在以太坊上，无论交易成功还是失败都要付费（依据 ethereum.org，2026-11-01 核对）。
- 一个钱包包办一切。长期资产放在从不连接 DApp 的钱包里，最好是硬件钱包；另用一个小额"热钱包"做尝试。分层方法见自托管指南。
- 忽视 NFT 授权。对某个 NFT 系列"全部授权"，等于把该系列的所有 NFT 都交给了合约。
常见问题
撤销授权要花钱吗？
要付一小笔网络费，因为撤销会在链上写入一个为零的新额度。通常远低于它所保护的资产价值。
助记词没泄露，黑客也能用我的授权吗？
能。授权与助记词无关，谁控制了被授权的合约，谁就能在额度内调用 transferFrom。
授权会自动过期吗？
标准 ERC-20 授权不会自动过期。Permit 签名带有截止时间，但攻击者通常会立刻提交。
在中心化交易所交易需要授权吗？
不需要。交易所账户里不会签代币授权，那里的重点是登录和提现安全，见账户安全设置。
结论
授权是 DeFi 的正常环节，但每一笔额度都是一扇开着的门。只授权精确数量，像对待交易一样仔细阅读签名，撤销不用的授权，并把积蓄放在从不签 DApp 请求的钱包里。下一步，去区块浏览器使用课学会自己核查授权和交易。
仅供教育，不构成投资建议。规则于 2026-11-01 核对。
