老陈上周在tpwallet.io里点了一个“领取空投”的按钮，三分钟后，他那个存了两年USDT的地址只剩0.12美元。截图里了，授权记录显示他批准了一个陌生合约的无限转账权限。这事不新鲜，出现在tpwallet.io主打多链聚合的钱包里。
还是让我重新翻了翻它的交互设计。tpwallet.io的DApp浏览器确实方便。切链、兑换、质押，一个界面全搞定了。老陈就是冲着这个去的。可问题也藏在这里，当用户习惯了一键授权，钱包的确认弹窗，如果只强调“快速交易”，但把权限范围折叠在二级页面，风险就被悄悄放大。我对比过几款主流钱包吧？
tpwallet.io的授权提示并不算最差。它的默认gas设置和“推荐授权”选项。
容易让新手直接点确认。
老陈后来回忆，他根本没注意到那个小箭头下面写着“无限额度”。另一个细节是交易模拟。有些钱包会在签名前展示资产变化，tpwallet.io目前只在部分链上支持了。老陈那笔授权，如果被模拟出来，会显示“转出全部USDT”，也许他就停手了。这不是tpwallet.io一家的短板。整个行业都在补课。只是对于日活不低的tpwallet.io来说。这类基础安全提示的优先级应该再高一些。
我查了链上记录。那个恶意合约三天内还授权了，另外七个地址，其里面一个地址的转账备注写着“urgent”。我自己的做法是把tpwallet.io当作交互入口，大额资产放在冷钱包。每次连接DApp，先看一眼授权对象是不是官方合约，再手动把额度改成实际需要的数量。老陈后来把剩余资产转走了，也换了新地址。
他问我tpwallet.io还能不能用。我说能，得把它当成一把锋利的刀是切菜快，握反了也疼。现在他每次授权前都会截图发我了，问一句“这个合约你见过吗”？像个刚学会过马路的小孩。