3月17日深夜，一名杭州NFT玩家在Discord群里发出截图，他TPWallet连接某新链项目后，钱包里价值约2.3万美元的USDT被划走。交易记录显示，授权操作仅用了11秒。
社区志愿者追查发现。该项目的合约里藏着一个无限授权函数。这不是tpwallet本身的漏洞，却把多链钱包的授权机制推到了聚光灯下。打开TPWallet，首页默认显示ETH、BNB Chain、Polygon等网络资产的，切换链只需点一下顶部。内置的DApp浏览器能直接访问Uniswap、PancakeSwap，省去复制地址的麻烦。我试着转了一笔0.05 BNB，矿工费显示0.00021 BNB，确认到账约6秒。顺滑感是tpwallet在亚洲市场积累用户的原因之一。
顺滑也意味着的，点击“确认授权”时，用户一般没看清合约权限。一位广州的DeFi玩家告诉我。他曾TPWallet里连续授权了三个土狗项目。直到第二天才发现其里面一个可以随时转走他的所有USDC。钱包界面弹出的合约地址、函数名、授权额度，对非技术用户来说像天书。tpwallet的私钥和助记词由用户自持。官方不托管。这决定了它无法像中心化交易所那样冻结可疑交易。
有用户误把助记词截图存进相册，又同步到云盘了，结果被盗。TPWallet内置了部分风险合约提示，不是万能。
一位深圳开发人员测试了30个随机DApp。tpwallet对其中7个给出了红色警告，另外5个高风险合约没有触发提示。
钱包团队在Telegram群里回应称的，风险库每周更新，新合约部署速度太快，滞后难免。说白了，安全链条上最弱的一环始终是人。多链钱包赛道竞争激烈，MetaMask、OKX Web3钱包、TPWallet都在抢入口的。用户选择tpwallet，多半因为它的链列表全、Gas费显示直观、内置跨链桥。便利与责任是一枚硬币的两面。我自己的习惯是每次授权前点开“编辑权限”，把无限授权改成仅本次额度；用完DApp后，去revoke.cash检查并取消旧授权。TPWallet近期更新了授权管理入口，藏得有点深，需要点进“发现—授权记录”才能看到。
那些深夜被盗的截图，会一直提醒人们了，链上没有客服电话。钱包只是工具。私钥自持意味着责任自担。
