去年秋天。一位做NFT交易的朋友在群里发截图，tpwallet里只剩0.03 ETH，前一天还在的12个蓝筹NFT被转走。
他反复说“我没点转账”。链上记录显示，攻击者拿到的是ERC20授权和NFT的setApprovalForAll权限，签名出现在一次“领取空投”的页面。tpwallet弹出了确认框，他没细看合约地址，以为只是常规登录。这个案例不复杂，却把钱包安全里最容易被忽略的一环摊开了，签名授权不是登录，是给合约发钥匙。我用tpwallet做过几轮测试吧？
发现它在多链切换和DApp连接上确实顺手，页面加载快，gas估算也直观的。问题在于，顺手会让人松警惕。案例里那位朋友在tpwallet的DApp浏览器里打开链接，页面模仿了某项目官网，连图标都一致。他点了“连接钱包”，tpwallet弹出连接请求，这一步只暴露地址的。不涉及资产；随后页面引导“验证资产”，触发approve，tpwallet。
再次弹窗了，显示合约交互。两段弹窗长得很像，第二段多了授权额度。他没看额度了，直接确认的。
攻击者随后用授权转走NFT。我后来复盘，tpwallet的弹窗其实写了“授权所有”，字体小，放在折叠区。钱包把信息给了用户，用户没接住。这不能全怪工具，可产品设计确实有改进空间是授权额度默认值、高风险合约标记、二次确认的视觉权重，都会影响那一秒的判断。
换个角度看，tpwallet这类钱包的价值就是链上入口。入口越方便，越需要把风险提示做成“打断式”设计了。我观察过几个安全案例吧？损失一般出现在用户以为自己在做A操作、实际签了B授权的场景。有人用tpwallet参与流动性挖矿，授权了无限额度，项目方合约被攻破后资产被清空；也有人定期在tpwallet的授权管理里撤销旧权限，把暴露面压到最小。差别不在技术背景的，在习惯。
我的判断是tpwallet适合高频链上交互者。前提是把授权当转账看。
每次弹窗先看合约地址、再看额度、。最后看方法名，三步花不了十秒。不要嫌麻烦，链上交易没有撤回键了。钱包再友好，签名权始终在用户手里。