重要声明：本站为科普教育用途，介绍第三方公开工具与概念。不是投资建议，不构成荐币或收益承诺。涉及的工具均为第三方服务，请自行判断风险；切勿在测试以外的环境导入真实助记词或私钥。
痛点：用户以为自己只在“登录”
网页弹出钱包窗口，文案写着欢迎、验证、领空投。你点签名。链上其实可能执行的是授权：允许某个合约花你的代币，或操作你的 NFT。
setApprovalForAll：一把万能房卡
对 NFT 合约常见。你授权运营商合约可以转移你的某个系列全部 NFT。正规市场需要它才能代挂单；钓鱼站也会要它。一旦给了恶意合约，资产可被一键搬走。
类比：物业说“签名领取快递柜权限”，你却签成了“对方可搬走你家全部快递”。
permit 类离线授权
一些代币支持用签名批准额度（permit），不一定立刻发一笔链上 approve，但效果类似给额度。用户更容易被“免费签名”麻痹。看见不认识的 spender（被授权方），一律当危险。
防御步骤
- 读清楚钱包模拟器/解码结果：是 transfer 还是 approve / setApprovalForAll？
- 官网入口、合约地址双重核对。
- 热钱包限额；中招后立刻 revoke 并转移。
- 永不签盲签（完全看不懂的一坨十六进制）只为“领奖”。
练习
在测试网故意连一个教学用坏页面（若老师提供），观察钱包展示的授权字段，写 150 字报告：你看到了哪些关键词才拒绝签名。