授权的对象不是网站名字

常见代币授权会把某个地址设为可花费者，并设定额度。网站展示的品牌名称不等于链上地址已经核实。你需要确认代币合约、获授权地址、网络与额度；授权完成后没有立刻转走资产，也不说明该权限以后不会被使用。

为什么可能出现两次确认

第一次可能是在设置额度，第二次才调用兑换或存入等功能。两次操作可能分别需要费用，也可能采用签名等不同机制。不要仅数弹窗次数判断安全，要逐个阅读动作。如果原计划只是登录，却要求大额代币权限，应暂停核对。

额度与风险的关系

假设仅需要使用 100 单位代币，却授予更大的额度，那么后续资金也可能处于该权限范围内。按需额度能够减少部分暴露，但不能保护你免于错误签名、恶意合约或密钥泄露。撤销授权也需要确认网络与对象，且无法追回已经转出的资产。

定期做一次权限盘点

  • 列出仍在使用的应用和对应授权。
  • 删除不再需要的权限，核对撤销交易是否成功。
  • 连接网站只表示会话关系，断开连接不一定撤销链上额度。
  • 对不认识的权限先查记录，避免被假“安全检查”引去新的钓鱼页。

来源与进一步阅读

Ethereum：ERC-20 标准说明额度等接口，具体代币可能有额外行为。