授权与签名
在钱包里签署消息：“只是登录”何时变得危险
要点
- 签署消息不收手续费，所以看起来很安全。但一个签名可能交出代币授权，或确认别人的交易。
- 签署可读的文字是安全的：“登录 example.com，验证码 4821”。
- 一长串十六进制字符、带金额或地址的类型化数据、钱包的风险提示——都是拒绝的理由。
网站为什么要你签名
正当理由只有一个：在不发送交易的情况下证明你拥有某个地址。很多服务就是这样让你登录的。这种签名的文字人能读懂：网站地址、日期、一次性验证码。
骗子利用的正是签名“免费”、看起来不像转账这一点。
危险的签名
- 盲签。 给你看一串
0x8f3a…而没有任何说明。它可能是一笔交易的指纹：签了它，你就确认了一笔转账或权限变更，骗子随后会自己把它广播到网络。 - 类型化数据（TIP-712 等）。 里面有
spender、amount、deadline之类的字段。这是对你代币的授权或卖单，不通过交易完成。 - “用于 AML 检查”或“解锁”的签名。 检查地址和解冻都不需要签名：/check 只需一个地址。
如何阅读钱包窗口
- 找到请求签名的网站地址。和你打开的那个一致吗？
- 留意 spender、amount、approve、permit 等词以及地址和金额。登录用不到这些。
- 钱包提示风险或“未知数据类型”，就足以拒绝。
如果已经签了
- 在 GuardPay /revoke 检查该地址的授权，撤销不认识的，见无限授权。
- 检查账户权限是否被更改，见多签陷阱。
- 如果出现上述迹象，把资金转到新地址，并按被骗后怎么办处理。
检查并撤销授权
你允许谁花费你的 USDT——直接读取自合约。在你自己的钱包里撤销：每个授权一次签名，私钥留在你手里。
检查授权常见问题
消息签名可以撤销吗？
签名本身无法收回。如果它给出了代币授权，可以在钱包里用一笔交易撤销。如果签的是别人的交易，它已经在链上，只能把剩余资金转到新地址。
用签名登录网站安全吗？
安全——前提是窗口里是可读文字，含网站地址和验证码，没有金额和收款地址。这样的签名无法用来转走资金。
本文介绍骗局的运作方式及防范方法，不构成法律或财务建议。