📖 看到不懂的詞?搭配 幣圈術語表 隨查;完全新手建議先看 新手學習路徑。
你連到一個網站、照指示「簽個名」，沒有按任何轉帳鍵，幾分鐘後打開錢包卻發現幣被搬空了。這不是被駭進電腦，而是你親手簽下的「授權（approve）」被拿去盜光資產。這是 DeFi 新手最大的破產來源之一，而且因為沒有明顯的轉帳動作，很多人到最後都搞不懂錢是怎麼不見的。這篇講清楚原理，並教你怎麼用 Revoke.cash 把危險授權收回來。
「授權（approve）」到底是什麼？
當你在去中心化交易所（DEX）換幣、或跟任何智能合約互動時，合約需要「動用你錢包裡某顆代幣」的權限，這個動作就叫授權。它像是你把車鑰匙交給代客泊車——對方因此能在你授權的範圍內移動你的代幣。
正常情況下這沒問題，DeFi 就是這樣運作的。問題出在兩件事：很多 App 預設讓你簽「無上限」的授權，而且這個授權不會自己過期，你不主動收回，它就一直有效。
為什麼授權會被用來盜光你？
駭客利用的就是「授權一旦給出去就一直有效」這個特性：
- 無限授權：你以為只是授權換一次幣，其實簽的是「無上限、無期限」。惡意合約之後隨時能把你那顆代幣全部轉走。
- 釣魚網站誘導授權：假空投、假鑄造、假活動網站，把「領取」按鈕接到惡意合約，你一按就是授權給駭客。
- 離線簽名（permit）：最新、最毒的一種，見下方。
最毒的一種：離線簽名（permit / permit2）。它不需要付 Gas、彈出來看起來只是「簽個名」，不像轉帳那樣明顯，很多人以為沒事就簽了。實際上你可能已經授權對方在限定時間內把你的代幣全部轉走。看到要你「簽名」卻說不清楚簽什麼的，一律別簽。
怎麼用 Revoke.cash 撤銷授權？
Revoke.cash 是專門用來查看與收回授權的工具。步驟：
- 打開官網並核對網址：網址是 revoke.cash，務必確認沒拼錯、別點來路不明的連結（假的 Revoke 網站也存在）。
- 連接錢包或貼上地址查詢：可以連錢包，也可以只貼上你的公開地址先看，不連也能查。
- 檢視授權清單：它會列出你這個地址授權過哪些合約、額度多少。重點看「無限額度」和「你不認識的合約」。
- 點 Revoke 撤銷：對高風險的逐一按撤銷。撤銷本身是一筆鏈上交易，需要付一點 Gas。
- 從最危險的開始撤：無限授權、最近互動過的可疑合約優先處理。
建議養成習慣，每隔一段時間、或每次玩完一個新項目後，回 Revoke.cash 檢查一次。
平常怎麼防被授權釣魚？
- 只在項目官網互動：從官方推特、官方文件點進去，別點私訊、空投通知裡的連結。
- 簽名前看清楚簽的是什麼：搞不懂的簽名請求一律拒絕，尤其是 permit 類離線簽名。
- 分倉：常用來互動的熱錢包只放少量資金，大部位放另一個不亂連網站的錢包。
- 用硬體錢包：把資產放硬體錢包，簽任何東西都要實體確認，多一道防線。
- 定期用 Revoke.cash 檢查：把它當成定期健檢。
已經被盜了怎麼辦？
如果發現資產正在被轉走，第一時間把剩下還沒被轉的資產移到一個全新的、乾淨的錢包，因為光撤銷授權不一定來得及。被盜的部分鏈上不可逆、追回機率低，但仍建議保全證據、檢舉地址。處理流程可參考 被加密貨幣詐騙了怎麼辦。
常見問題 FAQ
我沒按轉帳，錢包的幣怎麼會被轉走？
因為你簽了「授權（approve）」。授權讓某個合約有權動用你的代幣，駭客拿到無限授權後，就能不需要你再操作、直接把幣轉走。離線簽名（permit）甚至免 Gas，看起來只是簽個名，最容易被忽略。
Revoke.cash 安全嗎？要付錢嗎？
Revoke.cash 是常用的授權管理工具，工具本身免費，但「撤銷」這個動作是一筆鏈上交易，要付一點 Gas。使用時務必核對官網網址，避免進到仿冒的釣魚站。
撤銷授權之後，被授權那段時間被偷走的幣拿得回來嗎？
拿不回來。撤銷只能阻止「之後」被動用，已經被轉走的部分鏈上不可逆。所以重點是定期檢查、及早撤銷，而不是等出事再補救。
什麼是無限授權？為什麼危險？
很多 DApp 預設讓你授權「無上限」額度，方便你之後不用每次重簽。但這代表被授權的合約隨時能把你那顆代幣全部轉走，一旦對方是惡意的或日後被駭，你的資產就全暴露。
離線簽名（permit）為什麼最毒？
因為它不用付 Gas、彈窗看起來只是簽名而非轉帳，戒心最低。但簽下去可能就等於授權對方轉走你的代幣。看到看不懂的簽名請求，一律拒絕。
怎麼從根本降低被授權釣魚的風險？
只在官網互動、不點私訊與空投連結、簽名前看清楚內容、用硬體錢包、熱錢包只放少量資金，並定期用 Revoke.cash 檢查與撤銷不必要的授權。
延伸閱讀
利益揭露:本文部分交易所連結含邀請碼,使用不增加你的成本,有些還有手續費折扣。內容以「幫你看懂並避坑」為前提,不構成投資建議。
發表迴響