錢包授權與釣魚防範：如何撤銷惡意授權、被盜後第一時間怎麼做
先說結論：大多數鏈上盜幣，是你親手簽的字
「錢包被駭客破解」這個說法，在現實中極少發生。絕大多數損失來自兩類操作：授權了惡意合約（你的幣是被合法合約轉走的），以及在釣魚網站點了簽名或填了助記詞（你親手交出了控制權）。鏈上交易不可撤銷，簽一次就可能清空一個地址。
這篇講清楚兩件事：怎麼檢查和撤銷危險授權，以及轉帳、互動前的防護動作和被盜後的應急流程——後者希望你永遠用不上，但必須提前知道。
風險一：代幣授權（Approve）到底是什麼
在鏈上使用 DApp（去中心化交易所、質押、借貸等）時，你需要先「授權」這個 DApp 動用你的某種代幣——這就是 Approve。問題出在授權額度上：
- 精確金額授權：只允許它動用你這一筆交易的金額，用完即止，相對安全；
- 無限授權：允許它動用你該代幣的全部餘額，且長期有效。如果你授權的是一個惡意合約，它可以在幾個月後的任何時間把你這個代幣全部轉走，而你當時不會收到任何提示。
風險在於：不少 DApp 為了「減少後續操作」，預設引導你選擇無限授權；而釣魚網站會偽裝成正常的 DApp，唯一目的就是騙你按下那個授權按鈕。
怎麼檢查並撤銷危險授權
- 打開授權查詢工具（常見的有 revoke.cash，以及區塊瀏覽器自帶的授權查詢工具）；
- 連接你的錢包——這一步只是讀取鏈上公開資料，不需要助記詞、不需要轉帳；
- 查看授權列表：重點看「額度為無限」且「授權對象你已不再使用」的項目；
- 點擊撤銷（Revoke），在錢包裡確認這筆交易。撤銷本身也是一次鏈上操作，需要支付 gas 費；
- 養成習慣：每隔一兩個月檢查一次，尤其是在參與過新專案之後。
兩個提醒：一是撤銷時看清你連接的是哪個站點，騙子也做了假的「撤銷工具」；二是不要為了省 gas 就給陌生站點無限授權，那點手續費省下來的錢，可能對應著你全部餘額的風險。
風險二：釣魚的六種常見形態
1. 假網站
網域和官方只差一兩個字元，頁面完全照搬。常見入口是搜尋引擎的廣告版位、社群裡的短連結、以及別人私訊發來的「新官網」。防護方法很笨但有效：把常用站點加入書籤，永遠從書籤進，不點搜尋廣告。
2. 假 App 與假擴充功能
應用程式商店裡搜到的「同名錢包」，以及瀏覽器彈出的「擴充功能需要更新，請重新安裝」提示，都可能是假的。防護：只從官網給出的官方商店連結安裝，擴充功能更新走瀏覽器自帶的更新機制，不要點第三方頁面上的「更新」按鈕。
3. 冒充官方私訊
社群、社交平台私訊裡的「管理員」「客服」「技術支援」，聲稱幫你解決問題、領取補償、參與活動。真正的官方不會主動私訊你索要任何東西。凡是主動私訊要你操作資產的，直接檢舉並封鎖。
4. 地址投毒（Address Poisoning）
這是一種很多人沒聽過的騙局：騙子會向你的地址發送一筆 0 金額或極小金額的轉帳，發款地址與你的常用收款地址首尾字元完全一樣。目的是污染你的轉帳歷史——等你下次從「歷史記錄」裡複製地址時，很可能抄到騙子的地址。防護：轉帳永遠不要從歷史記錄裡隨便複製，用地址簿或白名單；核對時至少核對首尾各 4-6 個字元。
5. 假空投與假領取頁面
「你有資格領取 XXX 空投」的頁面，點「領取」實際上是讓你簽名一筆授權或直接轉帳。判斷標準：真正的空投不會要求你先付錢、先授權全部資產、或輸入助記詞。
6. 假錢包升級／資產遷移頁面
以「錢包版本升級」「舊版本資產需要遷移」為由，讓你把助記詞填進網頁，或者在偽造的 App 裡恢復錢包。記住：助記詞只應該輸入到自己主動打開的正規錢包 App 裡，除此之外的任何頁面都是釣魚。
轉帳前的三個動作
- 核對地址：首尾各 4-6 位必須一對一對上；金額大的時候，全字元核對。長期轉帳對象加入地址簿或白名單；
- 先小額測試：第一次給某個地址轉帳，先轉一筆小額，確認到帳再轉剩餘金額；
- 在硬體錢包螢幕上確認：如果你用硬體錢包，錢包軟體上顯示的收款地址可能被惡意程式竄改，裝置螢幕上的地址才是可信的——這是硬體錢包最重要的價值所在，一定要用起來。
如果已經被盜：第一時間做什麼
順序很重要，前兩步越快，能挽回的部分越多：
- 立刻轉移剩餘資產：用一個全新生成的錢包（新助記詞、最好在乾淨的裝置環境裡建立）接收你還沒被轉走的資產。不要用原來的錢包，也不要只重新安裝 App；
- 撤銷舊錢包的所有授權：如果洩漏原因不是助記詞（例如只是授權或釣魚簽名），儘快撤銷授權，避免同一地址的其他代幣被繼續轉走；
- 保存證據：被盜交易雜湊、騙子地址、時間點、涉及金額，以及你當時訪問過的可疑網址或擴充功能截圖；
- 如果資產流入了中心化交易所：立刻聯繫該交易所的客服與合規管道，提交證據申請攔截。鏈上轉帳不可撤銷，但贓款進平台帳戶後，平台的凍結機制有機會爭取時間——這一步越早提交越有可能；
- 報警並固定紀錄：向當地警方報案，保留受理回執，同時可借助鏈上分析工具繼續追蹤資金路徑；
- 複盤洩漏環節：是授權了、點了釣魚、還是助記詞洩漏？不找出原因，新錢包也可能被同樣的方式掏空。
必須坦白說清楚：鏈上資產一旦被轉走，追回的機率很低。這也是為什麼前面所有防護動作都值得花時間做。
日常防護清單
- 資產分層：交易所放交易資金、熱錢包放日常互動的小額、硬體錢包放長期持有的大額；
- 用一個獨立的瀏覽器設定檔（或一台備用裝置）專門做鏈上操作，不和日常瀏覽混用；
- 常用站點全部加書籤，不點搜尋廣告和任何私訊連結；
- 簽名前讀清楚彈窗內容：簽名（Sign）和授權（Approve）不是一回事，授權更危險，額度優先選「精確金額」；
- 每月檢查一次授權紀錄，撤銷不用的；
- 任何索要助記詞、私鑰、驗證碼的情境，一律拒絕。
常見問題
簽名和授權有什麼區別？
簽名通常只證明「你是這個地址的主人」，不直接轉移資產；授權（Approve）則是把手續「動用某種代幣的權限」交給一個合約，額度足夠大時對方可以隨時轉走你的資產。看到授權彈窗，務必看清對象和額度再點確認。
撤銷授權要花錢嗎？
要。撤銷本身是一筆鏈上交易，需要支付 gas 費，金額取決於當時的網路壅塞情況。所以更好的策略是從一開始就避免無限授權，而不是等授權列表堆滿再統一清理。
我的資產全放在一個錢包裡，是不是風險很大？
是。一個錢包只對應一套助記詞，洩漏一次全部歸零；頻繁互動的那套私鑰本身就更容易暴露。合理做法是分層：需要頻繁互動的鏈上資金放熱錢包，長期持有的資產放硬體錢包，交易用途的資金放在安全紀錄好、有儲備證明的大所帳戶裡，例如 幣安、OKX、Gate.io。這樣任何一個環節出問題，損失都是可控的。
被盜的資產真的追不回來嗎？
機率很低，但不是絕對為零。兩種情況下有一點機會：資產流入中心化交易所後的短暫窗口內（及時提交證據申請凍結），以及執法機構與鏈上分析團隊介入的案件。絕大多數情況下，資產會被快速拆分、跨鏈轉移並進入混幣服務，追回希望渺茫——所以預防的價值遠高於補救。
風險提示與推廣揭露：鏈上交易不可撤銷，授權與簽名操作存在資產損失風險，本文內容不構成投資建議。本文包含推廣連結，透過連結註冊我們可能獲得佣金，不會增加你支付的費用，也不影響本文的判斷。文中涉及的工具與機制截至 2026 年 10 月，請以各官方管道說明為準。