扫码授权安全使用指南

最近，有不少用户向我们反馈，在使用 TP 钱包时，通过扫码授权后，资产竟离奇被盗，更为严重的是，钱包甚至还被恶意添加了多签。经过深入分析，我们发现这类问题的本质在于签名权限遭到了滥用。用户在毫无察觉的情况下，不经意间就授权了恶意合约，而攻击者正是利用多签来巧妙控制钱包权限，从而达到窃取资产等不良目的。

扫码授权时务必仔细核对域名和合约地址。当前存在不少骗局，常伪装成空投领取、NFT铸造页面等形式，以此诱导用户扫不明二维码。一旦用户进行了授权操作，恶意合约便能够调用转账功能或者添加多签。所以建议在使用相关服务前，通过区块链浏览器来验证合约是否经过审计。

多签并不等同于安全。多签原本是一种用于提升安全程度的手段，然而当它被攻击者加以利用时，却反而摇身一变成为了致使资产被锁死的陷阱。一旦发现钱包被异常添加了多签，就应当立即通过官方所提供的渠道来撤销授权，或者选用新的钱包去转移剩余资金，千万不能继续使用原来的地址。

养成将冷钱包与热钱包分离的良好习惯。在日常交互过程中，使用小额钱包进行操作，而将大额资产妥善存放于冷钱包或者不参与交互的地址。并且要定期运用授权检测工具（例如TokenPocket自带的授权检测功能）来清理存在风险的授权，以此减少暴露面。

你在钱包安全上踩过哪些坑？欢迎留言分享你的经历，一起避雷。