TRC-20 授权：骗子如何借此盗取 USDT，以及如何撤销

什么是授权

TRC-20 代币（包括 USDT）都有 approve 函数。签署它就意味着：“这个地址可以从我的钱包扣走最多 N 个代币”。之后被授权方自己调用扣款（transferFrom），每次扣款都不再需要你的签名。

这是正常机制：兑换应用和其他应用需要授权才能完成兑换。问题有两点：很多应用请求的是无限授权，而且在你撤销之前它一直有效——可能长达数年。

骗子如何利用它

骗子不需要你的助记词，只要你对他的地址签一次 approve 就够了。常见借口：

• “领取空投”、“领取奖励”、“验证钱包以便提现”。
• 仿冒的兑换页面或知名应用页面。
• Telegram 上的“客服”让你把钱包连接到某个网站“做检查”。
• 一个用来“兑换”你“免费”收到的假 USDT 的网站。

钱包弹窗看起来很平常：“Approve”、“确认”，有时是 increaseAllowance。一分钟或一个月后，被授权方就把该代币的余额全部扣走。钱包不会再问你：授权早已存在。

如何查看已授予的授权

授权保存在区块链上，因此无需连接钱包，按地址即可查看。把你的地址粘贴到 GuardPay /check：报告中有已授予授权一节——授权给谁、哪种代币、多少金额。曾经盗空他人钱包的地址会被标记。

如何撤销，以及为什么需要签名

撤销授权，就是向同一个被授权方再发送一次 approve，金额为 0。这是一笔从你钱包发出的普通交易，因此：

1. 需要连接持有代币的钱包并签署交易。没有所有者的签名，任何人都无法撤销——我们不行，交易所不行，钱包客服也不行。
2. 需要少量 TRX 或能量支付手续费，和任何合约操作一样。
3. 一个授权对应一次签名。TRON 没有批量发送：“全部撤销”意味着连续签多次名。

GuardPay /revoke 撤销直接从合约读取你地址的授权，并在你自己的钱包里准备撤销：每个授权一次签名。私钥和助记词始终在你手里。

签名前检查钱包弹窗：方法是 approve，代币合约是你要撤销的那个，被授权方是你要撤销的那个，金额为 0。通过你信任的钱包或服务撤销，绝不要在“撤销”网站上输入助记词。

撤销已经无济于事的情况

撤销能阻止未来的扣款，但不能追回已被扣走的钱。如果钱已经没了，请在它被分散到各兑换点之前追踪去向：最初几小时该怎么做。

如果被盗的不是授权而是整把密钥（你在网站上输入过助记词，或从未经核实的来源下载过“钱包”），撤销就毫无用处：骗子手里有密钥本身。此时应立刻把剩余资金转到使用新助记词的新钱包。

保护你的习惯

• 如果应用允许，只授权本次交易的确切金额，而不是无限额度。
• 主要资金放在单独的钱包里，从不连接任何网站。
• 每月用 /revoke 检查一次自己的地址，撤销不再使用的授权。