TPWallet连接智能合约时，签名和授权是两回事。有人因无限授权被盗资产，也有人把假合约当成官方入口。搞清调用流程、额度管理和撤销方法，能少踩很多坑。
上个月一个朋友在TPWallet里点了个“连接钱包”。接着弹出一笔授权，他看都没看就确认了。三天后，他钱包里的USDT被转走。
tpwallet智能合约交互里最典型的坑，你以为只是登录，其实签的是资产支配权。TPWallet和智能合约到底是什么关系啊？简单说，TPWallet是钥匙，智能合约是锁。你每次在DApp里兑换、质押、领空投，最终都要TPWallet把私钥签名后的交易广播到链上。钱包不替你执行合约，它只负责签名的。
有些人误以为钱包能拦截恶意合约，它只能展示交易内容，但多数人不会点开十六进制数据看了。签名是证明你同意这笔交易，授权是允许某个合约地址动你的代币。前者一次性，后者可能长期有效。
有人授权时选了“无限”。就等于把金库钥匙复制给了对方，对方什么时候来取、取多少啊？你控制不了。tpwallet智能合约里最容易被忽略的分界线。为什么我授权了却交易失败呢？可能是Gas不够、滑点太低、合约暂停，也可能是假网站。我见过一个仿冒某DEX的页面，域名只差一个字母。连TPWallet里显示的项目名都差不多。
你点确认，钱就进了别人合约。还有个细节，tpwallet智能合约授权记录不会自动提醒你，有些人在半年后才发现自己授权过十几个不知名合约吧？
定期检查授权列表的，比装十个杀毒软件管用。有人觉得钱包会兜底，链上没有好事。你签出去的权限，就是泼出去的水。用TPWallet跟智能合约打交道，我自己的习惯是只从官方渠道进DApp，不点推特私信里的链接；授权额度手动改成刚好够用的数，不要图省事选无限；交易前看合约地址，不是看界面LOGO；
用完就去撤销授权。TPWallet内置的授权管理或者第三方工具都行。大额资产放冷钱包，TPWallet只留够gas的零钱。不要嫌麻烦，链上转错一笔，没人给你回滚。
tpwallet智能合约交互的安全，不靠运气，靠你每次点确认前多看一眼。有人问我，TPWallet智能合约交互是不是很危险？危险的不是工具。是闭眼点确认的习惯。链上世界没有客服，也没有撤销按钮的。你签的每一笔，都是最终判决。搞懂签名和授权的区别，管住无限授权的，定期清理，tpwallet智能合约就能当一个趁手的工具，但不是一个随时会漏的钱包。
