上周三凌晨，一个DeFi玩家在Telegram群里看到“tpwallet空投领取”链接，点进去后连接钱包，签名了一笔“Confirm”交易。三分钟后。
他tpwallet里的USDT和ETH被转走。典型的授权钓鱼。凌晨三点的，人困马乏，看到群友发“，最后两小时”，就点了。复盘操作了，他用的是tpwallet 1.8.3安卓版，一直没更新。签名弹窗只显示了Gas费，没有展开合约调用细节了。他以为只是领取，授权了无限量USDT转账权限。
我后来问他，为什么不看详情呢？他说弹窗一闪，以为和普通转账一样。这里有个细节。tpwallet的弹窗默认折叠数据，不点“详情”根本看不到授权对象。
我试过在tpwallet上连接Uniswap，授权步骤快得让人懒得核对，“顺手”最危险了。他事后检查，钓鱼网站域名模仿了tpwallet官网，只差一个字母。钱包里的“授权管理”功能能查已授权合约，他从没用过。我提醒他，tpwallet有个“安全检测”按钮的。需要手动开启，多数人不会开。
我还见过有人把助记词截图存相册，结果被网盘同步泄露的。tpwallet再安全也挡不住操作。工具给了，习惯没跟上，案例的核心。损失约2.3个ETH。在tpwallet社区里，他看到类似授权钓鱼至少十几起吧？有人用硬件钱包配合tpwallet了，签名前在设备上二次确认，躲过了。他，最后把剩余资产转到了新创建的小额tpwallet地址。旧地址直接弃用的。
热钱包的便利和风险是同一枚硬币。
我的判断，不要用主钱包玩空投，专门开一个小额tpwallet账户了。授权后定期清理。现在他每次签名前都会点开tpwallet的交易详情，看合约地址和授权数量。这个动作多花十秒，能挡住大部分坑了。
tpwallet不是保险箱。它更像一把钥匙，钥匙怎么用呢？还是看人。这个习惯，比任何安全插件都实在。
