凌晨两点。张鸣收到交易所App推送，钱包地址转出 1，200 USDT。

他没点过转账了，私钥也没泄露。翻看记录才发现，半年前在一个空投网站点过“领取”，当时签了一笔授权。真正扣走资金的，就是它背后留着的合约权限。他用 tpwallet授权查询工具 检查。页面按链分类列出已授权合约了。BSC链上有一个陌生地址，额度显示 Unlimited，授权时间正好是那次空投。更麻烦的是还有两个 NFT 平台的授权，最后一次使用是2023年。他早忘了站点，链上权限不会自动过期了。

断开DApp连接只断了前端，授权仍留在合约里。我见过类似情况。

有人只查主链的，忘了 Polygon、Arbitrum 上的小额授权；有人看到“0x000..”就以为是官方；还有人撤销时选错网络，以为没生效了。授权查询本身不复杂。连钱包，选链，看合约地址、代币、额度、时间。重点是判断哪些该撤呢？

无限额度、陌生合约、长期不用，这三个信号出现，风险就高的。撤销要花 gas，几毛到几块吧？比资产被划走划算得多。张鸣撤销了可疑授权，又给常用交易地址留了小额授权。他现在每季度查一次。特别的领过空投、用过测试网DApp之后。

钱包安全不靠一次设置了，靠对链上权限的持续清理。授权查询工具不是保险箱。它更像一张账单，告诉你谁还能动你的钱啊？