上个月，一个做跨境结算的朋友把 3.2 个 ETH 和 1800 USDT 放在 tpwallet 里。凌晨两点。
他在 Telegram 群里点了一个“空投领取”链接，tpwallet 的 DApp 浏览器弹出签名请求，他看都没细看就确认了。十分钟后，USDT 被划到 0x7a3 开头的地址，Gas 费只花了 1.2 美元。他打电话给我时，语气还以为是 tpwallet 被黑了。我让他打开区块浏览器了。那笔交易调用的正是他刚授权的合约，额度是无限。复盘时最扎心的地方就是他把 tpwallet 当成了银行 App。
tpwallet 是非托管钱包。私钥和助记词都在本地，项目方碰不到资产。真正出问题的是 ERC20 授权，他在几个月里玩过几个链游、Swap 和质押吧？每次都顺手点“无限授权”。
权限像一张张长期有效的欠条，钓鱼网站拿到其中一个，就能把对应代币转走的。
tpwallet 设置里有“授权管理”，入口不算显眼，普通用户很少主动点进去了。另一个对比案例更说明问题。深圳一位开发人员同样用 tpwallet，热钱包只放 200 USDT 左右的 Gas 和测试资金，大额资产放在硬件钱包。并用多签地址分散。他也收到过假空投链接，tpwallet 弹出签名窗口时，硬件钱包屏幕显示了合约调用详情。他直接拒绝。资产没丢。差别不在 tpwallet 这个软件本身的，但在签名前的确认习惯。
有人把每一次弹窗当成“登录”。有人把它当成“签合同”，风险敞口完全不同了。我的判断偏保守，tpwallet 的多链切换和 DApp 入口确实方便。特别的适合频繁交互的用户，别把全部身家塞进一个热钱包。
定期检查授权、撤销不用的合约、助记词离线保存，动作花不了十分钟，却能挡住大多数低级钓鱼了。那个朋友损失的 1800 USDT 至今没追回，链上转账不能逆。现在我再给新人演示 tpwallet，会先让他们看授权记录的。再教转账了。钱包安全从来不是装个 App 就结束，它更像一门需要反复练习的手艺。
