我干了这么多年链上安全，最烦的就是看小白在那儿乱点签名。

TP钱包的消息签名这东西, 说白了就用你私钥对着内容盖章, 看上去规矩, 实际上转眼给你好看。

多数人觉得这仅是验证身份小程序, 谁承想签完就被他人套取资产, 连哭都寻不到去处啊。

消息签名到底签的是啥

直白的说, 你用钱包签定一段话语, 就相当于说这段话是我本人认可的。

但问题在于, 很多去中心化应用或者所谓“官方活动”会塞一些乱七八糟的要命权限挤塞进里面去。

你觉得签下的是完全空白内容, 实际上不对他是后台悄悄替你加了允许把你名下那部分资产全部权完成转移的权限代码。

有位好友前段时间介入各类空投相关活动, 页面标明“只需签名核验身份”, 不料签罢隔日钱夹空了。

问他那会有没有仔细看页里的内容，他说压根儿正眼都没瞧过那内容, 页面瞅着有两下子就顺手点了。

别嫌俺啰嗦, 这是血泪教训, 签名这动作即是将刀递至人家, 人家想干啥、你拦不住。

举再一个例, 某些网页的弹窗会显示“交易签名确认”, 这和平时转账差别看起来并不是特别大, 但实际这类弹窗签下的是“无限授权”签协议。

你你签完的token, 被别人转走直接转走你手里像你的token, 完跟转随便被别人, 你签完没区别。

怎么避免被签名坑

认准一条死规矩: 所有让你落款的, 全得瞅明白再动手。部分落款内容会直接暴露你的钱包位置和授权款项, 这种没眼瞅都能瞧出有毛病。

别嫌麻烦，多花十秒钟看看，能省下一笔巨款。

还有一个办法，就是分账号使用。

别急着到处拿主力钱包去签名, 准备一个空口袋专门到那些很不靠谱的网址上做尝试。

签这个名之前, 最好, 先了解这个项目靠不靠, 谱, 别看到"限量""限时"的这种词的就脑子一热。

骗子最爱用这种心理战术，让你没时间思考。

若实在拿取不准的话, 可以用像查看器这类的工具, 把签名所涉及的内容译成人们所能理解的话语再仔细看上一遍。

别怪我这些事事儿多, 钱在咱们自己的兜里归咱们自个儿拿着, 放在人家手里面的就是永远, 都没返回来的时候儿。