你明明沒有轉帳，USDT 或代幣卻被轉走，很多時候問題不是交易所被盜，而是錢包曾經給過某個合約「授權」。錢包授權的本質，是允許特定合約在條件內移動你的代幣；如果授權對象錯了、額度太大或網站本身是釣魚頁，就會變成長期風險。
這篇用新手能看懂的方式，整理加密貨幣錢包授權是什麼、為什麼 USDT 授權常被拿來詐騙、怎麼查詢與取消授權，以及什麼情況應該直接換錢包。本文是安全教育，不構成投資建議，也不保證追回已損失資產。
快速答案：什麼是錢包授權？
錢包授權，也常被稱為 token approval，是你在去中心化交易所、DeFi、NFT 或空投網站互動時，允許某個智能合約使用你錢包裡某種代幣的權限。它不等於立刻轉帳，但代表日後合約可能在授權範圍內操作該代幣。
| 行為 | 意思 | 主要風險 |
|---|---|---|
| 簽名登入 | 證明錢包是你的，通常不移動代幣 | 釣魚簽名、假網站誘導 |
| 代幣授權 | 允許合約使用某種代幣 | 無限授權、惡意合約掃走資產 |
| 正式轉帳 | 資產從你的錢包送出 | 地址錯誤、轉錯鏈、不可逆 |
為什麼 USDT 授權特別常被盯上？
USDT、USDC 這類穩定幣流動性高、用途廣，攻擊者比較容易把資產換走或跨鏈轉移。當你在假空投、假質押、假客服頁面按下授權，風險不一定當下爆發；只要授權仍存在，之後錢包有餘額時也可能被合約操作。
- 無限授權風險較高：有些網站會要求 unlimited approval，代表不是只授權本次金額。
- 釣魚頁會模仿真服務：網址、按鈕、錢包彈窗都可能長得很像真的 DeFi 或交易所頁面。
- 熱錢包容易累積舊授權：常拿來領空投、測試鏈上服務的錢包，往往殘留很多不再需要的合約權限。
怎麼查詢錢包授權？
查詢授權前，先確認你要檢查的是哪一條鏈，例如 Ethereum、BNB Chain、Polygon、Arbitrum 或其他 EVM 鏈。不同鏈上的授權資料不會自動互通，所以只查一條鏈不代表全部安全。
- 打開你信任的區塊鏈瀏覽器或授權檢查工具，確認網址不是廣告或仿冒站。
- 連接錢包前，先閱讀頁面要求的權限；只做查詢通常不需要輸入助記詞。
- 依照代幣、合約名稱、授權額度與最近互動時間排序。
- 把不認得、已不使用、額度過大的授權列為優先處理。
怎麼取消授權？
取消授權通常需要發送一筆鏈上交易，所以會消耗少量 Gas Fee。操作前先確認鏈別、錢包地址與要取消的代幣，避免在釣魚工具上做出新的危險授權。
| 情境 | 建議處理 | 原因 |
|---|---|---|
| 已不用的 DeFi 或 NFT 合約 | 取消授權 | 降低舊合約或假站風險 |
| 額度顯示 unlimited | 改成小額或取消 | 避免未來餘額被一次掃走 |
| 疑似釣魚網站授權 | 立即取消，必要時轉移資產到新錢包 | 取消不一定足以處理已洩漏的私鑰風險 |
| 助記詞曾輸入到網站 | 不要只取消授權，應換錢包 | 助記詞外洩代表整個錢包失去可信度 |
授權安全檢查清單
- 不要把助記詞、私鑰輸入任何授權查詢網站。
- 互動前先檢查網址，避免從廣告搜尋結果點進假頁。
- 新服務先用小額測試錢包，不要直接連主錢包。
- 授權完成後，定期回頭清理不再使用的合約權限。
- 長期資產放冷錢包或低互動錢包，熱錢包只放日常金額。
常見問題
取消授權後，已經被轉走的 USDT 會回來嗎？
通常不會。取消授權是降低未來風險，不是追回已完成的鏈上交易。若資產已被轉走，應保存交易紀錄、地址、網站截圖與客服對話，並避免再向可疑網站支付「追回費」。
每次使用 DeFi 都要取消授權嗎？
不一定，但新手建議把高額或不常用授權取消。若你頻繁使用某個可信協議，可以設定較小額度，或用專門的互動錢包與主資產錢包分開。
只簽名沒有授權，會不會被盜？
仍有風險。某些惡意簽名可能被設計成授權或訂單，不是所有簽名都只是登入。看到不懂的簽名內容、陌生合約或要求你急著確認的網站，最好先停止。
延伸閱讀與下一步
如果你正在整理整體資產安全，建議接著閱讀 加密貨幣詐騙怎麼防、交易所帳號防盜設定、USDT 轉錯鏈處理 與 冷錢包與助記詞備份。先把錢包授權清乾淨，再把交易所、冷錢包與出金流程一起檢查，會比只依賴單一工具更安全。
CTA：今天先花 10 分鐘檢查最常用熱錢包的 USDT、USDC 與常見 DeFi 授權；看不懂或已不用的權限，先取消，再把大額資產移到較少互動的錢包。
