"免费领空投"的页面让你点的那个"领取",在钱包里弹出来的可能是一笔授权(approve)——同意某个合约今后可以动用你的 USDT。弹窗里写的是什么,决定了你是在领币,还是在把币的支配权交出去。
- 领取页弹出的"领取 / 激活 / 验证资格",实际签的可能是一笔授权(approve);给出去之后,对方可以在任意时间划走对应代币。
- 授权可以是无上限额度、没有到期时间的,你不主动撤销,它就一直有效。
- 不花 gas 的链下签名(比如 Permit2)也可以起到授权的作用,看不懂的确认一律取消。
- 已经签了:先把值钱的资产转到新钱包,再撤销(revoke)那笔授权。
领空投为什么会被盗币
空投本身是有的:一些项目会把代币免费发给早期用户或符合条件的钱包。假空投照搬了这件事的样子。
过程是这样的:你在某个群、某条推文、某个私信里看到"XX 项目空投开放领取,先到先得",或者打开钱包发现多了一笔没见过的代币。顺着提示进到一个领取页面,页面让你"连接钱包"——到这里还没出事。下一步,它弹出一个让你确认的窗口,文案写着"领取""激活""验证资格",而你点下去签的,是一笔授权交易。
签完之后,对方不需要你的私钥和助记词,也能把你钱包里对应的代币转走。你会觉得"我什么都没转出去"——确实没转,你给出去的是让别人转的权限。
授权(approve)是什么,为什么签一次就能把币划走
钱包里的代币(比如 USDT 和各种 ERC-20 代币)有这样一个机制:你想在某个去中心化应用(DApp)里用某种代币去交易、去质押,得先"授权"这个应用的合约可以动用你的这种代币,之后它才能在你发起操作时替你划转。这是 DeFi 正常使用需要的一步,本身不是坏事。
可以拿银行卡的代扣权限打比方:开给某个商户之后,它在约定范围内可以直接从你卡里扣钱,不用你每次再输密码。
要看的是"额度"和"期限"
授权请求申请的可以是无上限额度(弹窗里是一长串很大的数字,或者直接写"unlimited"),而且没有到期时间。换成代扣的说法:开出去的不是"最多扣 100 块",而是"这张卡里的这种钱,想扣多少扣多少,一直有效"。授权对象如果是对方的合约,什么时候把这种代币划走,由它决定。
所以会出现"很久没操作,钱包里的币却被转走"的情况:授权是早先签的,对方后来才动手。ethereum.org 的撤销代币授权指南写明:合约权限没有到期日;它建议不要给项目无上限的代币额度,并定期把授权撤掉。
只是签个名、没花 gas,也会被盗吗
会。钱包弹出来的确认常被笼统叫作"签名",其实分两种,风险不一样。
| 普通链下签名(signature) | 授权 / 交易(approve) | |
|---|---|---|
| 常见用途 | 证明"这钱包是我的",比如登录 DApp、加入白名单 | 授予合约动用你某种代币的权限 |
| 是否上链 | 多数不上链、不花网络费 | 会上链,需要支付网络费(gas) |
| 直接动资产吗 | 正常情况下不直接动 | 授权后,对方可在权限内划走对应代币 |
| 钓鱼时的风险 | 骗子会构造"看起来无害"的签名,实则等同授权或转移资产 | 额度无上限 + 长期有效时,一次就够把某种代币搬空 |
说明:不同钱包、不同链展示签名与授权的方式会有差别。看不懂的确认先取消,弄清楚它在请求什么再说。
"链下签名不上链、不花钱"不等于安全。一个效果等同于"允许转走你的代币"的请求,可以做成一个没有 gas、也没有"approve"字样的签名弹窗。典型的是 Permit2 这类签名。MetaMask 官方帮助中心的签名钓鱼说明写到:Permit2 是 Uniswap 设计的代币授权合约,靠链下签名工作;这种签名不会广播到网络上,可以设定在一段时间内有效,拿到签名的一方未必马上动手。所以判断标准不是"它要不要花钱",而是你有没有看懂它在请求什么、对方是不是你信任的地址。
假空投有哪三种入口
① 假领取页让你签授权
一个做得很像项目官网的"空投领取页",连上钱包后立刻弹出确认。看上去在"领币",请求的却是你钱包里 USDT 或其它代币的授权。页面会用倒计时、"仅剩 N 个名额"催你直接点。
② 假代币 / 假 NFT 先进你的钱包,再引你去交互
你什么都没做,钱包里多了一个代币或一张 NFT,名字或图片里嵌着一个网址,让你去那个站"领取 / 兑换"。东西躺在钱包里伤不到你,去那个站交互才会。
③ 假"解除风险 / 检测授权"页面
它把自己说成"授权安全检测""一键解除风险授权"的工具,声称帮你扫描并撤销危险授权。你点的"解除",是一笔新的授权。
空投只是其中一种包装。同一套做法还会换成别的样子:仿冒的 DApp、跨链桥或 NFT 平台,靠广告和社群把你引过去;自称官方客服,说你账户异常、要"验证钱包";打着"稳赚高息""质押挖矿"的名义,把授权说成"开始赚钱的第一步"。共同点是造出一个"你得先签一下才能继续"的理由。
哪些情况下不要点确认
- 钱包里凭空出现你没买过、没参与过的代币或 NFT,名字里还带着网址。
- "领空投"必须先连接钱包并签一个你看不懂的确认,尤其确认内容涉及 approve、unlimited、或一长串大额数字。
- 页面用倒计时、限量名额、"立即激活否则作废"催你别细看。
- 链接来自陌生私信、群里"管理员"、被缩短的短链这类别人递过来的入口。
- 声称能帮你"检测/解除危险授权",却要你再签一次。
页面催得越急,越要先取消,把弹窗内容看明白再决定。
想参与空投,怎么把损失控制住
空投可以参与,前提是先安排好"万一签错了,损失有限":
- 准备一个独立的小钱包专门用来领空投、试新项目,里面只放亏得起的小额资金。
- 每次确认前读一遍弹窗:是签名还是授权?对方是哪个合约地址?额度是不是无上限?看不懂就取消。
- 能设额度的时候,只给够用的额度,不放行无上限。
- 定期撤销旧授权:早就不用的 DApp、来路不明的合约权限都清掉;领过空投、连过陌生 DApp 之后清一遍。用什么工具、怎么操作,见下一节。
- 值钱的资产放硬件钱包(冷钱包),只存放、少交互。要注意硬件钱包保护的是私钥,挡不住你亲手确认的授权——拿硬件钱包连上钓鱼站、确认了一笔无上限授权,对应的代币照样能被划走。所以到处试新项目的事,交给上面那个小钱包。
- 钱包里凭空多出来的东西,不点、不领、不兑换。
已经签了可疑授权,怎么撤销
不用等确认"会不会真出事",按下面的顺序做:
先把值钱的资产转走
钱包里金额较大的,先把资产转到一个全新的、没在可疑站点交互过的钱包。撤销授权要一笔一笔来,转走更直接。
打开撤销工具,连上钱包
ethereum.org 的撤销指南列了几个查看和撤销授权的工具,其中有 Etherscan 的 Token Approval Checker(etherscan.io/tokenapprovalchecker,以太坊)、Blockscout 的同类页面,以及支持多条链的 Revoke(revoke.cash)。网址自己在地址栏输入,不从搜索结果、广告或别人发的链接进——上面第 ③ 种入口冒充的就是这类工具。进去后点"Connect wallet"连上钱包。
找到那笔授权,点撤销
工具会列出这个钱包给出去的授权。找到给可疑合约的那一条,点撤销(Revoke),钱包里会弹出一笔新交易,确认它。按指南的说法,撤销要付一笔费用才算完成。授权撤掉之前,别往这个钱包里补同一种代币。可疑合约的地址记下来,报案时要用。
把其它来路不明的授权一并撤掉
列表里早就不用的、认不出来的授权,趁这次一起撤。
这个钱包以后只放小额
在可疑站点签过东西的钱包,重要资产不再放回去,换新钱包管理。
币已经被转走的:可疑站点的域名、交易哈希和聊天记录截图留好,报案的渠道见 被骗后怎么办。
接着读这些
- 地址投毒:钱包多出 0 USDT 怎么办——钱包里凭空多出来的东西,还有这一种用法。
- 买了币卖不出去,是貔貅盘吗——靠"空投"引流的新币,买之前能查的几处。
- 假交易所网站的 5 种域名障眼法——领取页的域名,也可以照那张表核对。