连接、签名与授权并不相同
| 操作 | 典型权限 | 需要核对 |
|---|---|---|
| 连接账户 | 读取公开地址和网络 | 站点、账户和隐私影响 |
| 消息签名 | 证明意图或登录 | 完整内容、域名和用途 |
| 代币授权 | 允许合约转移额度内资产 | 代币、合约、额度和期限 |
| 交易签名 | 提交链上状态变化 | 方法、金额、接收方和 Gas |
如何阅读签名请求
签名窗口应显示来源网站、账户、网络和可解析内容。若内容为空、乱码、与当前操作无关，或页面要求连续签署多个无法解释的请求，应暂停。
- 确认域名和进入路径。
- 检查当前账户是否为本次需要使用的账户。
- 比较页面操作与签名内容是否一致。
- 不因空投、限时或客服催促而跳过阅读。
代币额度与无限授权
授权额度决定合约可从账户转移的代币上限。无限授权便于重复使用，但会长期扩大风险暴露。对一次性操作，优先考虑接近实际需要的额度。
合约获得授权后，即使网页断开连接，链上权限仍然存在。只有提交取消或修改授权的交易，才能改变该权限。
检查和取消授权
- 选择正确网络和账户。
- 查看代币、被授权合约和当前额度。
- 核对合约是否仍在使用且来源可信。
- 取消来源不明、长期不用或额度过大的授权。
- 提交后用交易哈希确认变更成功。
取消授权需要支付网络费用，且不能追回已经被转移的资产。
恶意合约和异常迹象
恶意合约可能伪装成领取空投、兑换资产、账户验证或解除风险。常见迹象包括要求无限授权、调用与页面说明不一致的方法、连续弹出签名、隐藏真实域名或诱导输入助记词。
怀疑已与恶意合约交互时，应停止后续操作，检查授权和交易记录，必要时把资产转移到使用新密钥创建的安全账户。