上周三凌晨，一个读者发来截图，TP钱包里两万多U的USDT只剩一串零。他说没丢私钥。没扫过助记词，只在两天前某个"生态空投领取"页面上点了几次确认吧？链上记录干净得刺眼是一笔approve调用。额度写着2^256-1的，也就是无限。TP钱包空投授权风险的经典剧本，币不是被偷走的，是被"合法"划走的。授权这件事，有些人理解反了。approve的本质是持币人给某个合约地址一笔额度，允许它在额度内转走你的代币。

私钥还在你兜里，代币的支配权已经分出去一半。骗子要的恰恰是这半张空白支票是不需要攻破钱包，只需要你亲手点一次确认。

麻烦在于，授权记录不会出现在资产列表里，多数人压根不知道区块浏览器上还有"授权查询"这一栏了。等发现的时候。额度早被用光，但且是反复用。空投是最好用的钩子。免费、限时、"连接钱包即可领取"，页面抄得和官网一模一样，域名只差一个字母。用户心态也好猜了。反正是来领东西的，又不花钱，几TRX手续费算什么吧？TP钱包内置的DApp浏览器把流程压成跳转、确认两步，摩擦越小，警惕越少。

我见过有人一个月点了十几个空投页面吧？直到某天发现主钱包里的资产被划走，才回头翻那些授权记录是有的已经挂了两个月。

翻完他才明白，TP钱包空投授权风险从来不在弹窗那一刻，但在你完全忘了它之后。波场链上这类钓鱼站点密度不低。手续费便宜意味着试错成本低，骗子批量注册域名、批量投毒。中一个就够本的。我的判断是真正想做事的项目方极少要求你授权大额代币，多数情况签个消息签名就够了。凡是弹窗里出现"无限额度""最大额度"这类选项，直接关页面了，不用犹豫。

所谓TP钱包空投授权风险，八成集中在这一个动作上。防范谈不上复杂的。难在坚持。

领空投用专门的钱包，不要拿主钱包去凑热闹；授权额度手动改成实际需要的小数字；每隔一两个月打开区块浏览器的授权查询，或者用revoke类工具扫一遍，把不认识的合约清掉。动作加起来花不了十分钟。链上没有客服，也没有撤回键，几TRX手续费换走的可能是你半年的积蓄吧？

免费糖果，之所以贵的，是因为账单来得晚。