老周在TPWallet里点过一次“领取空投”，半小时后钱包里的USDT被划走。助记词没填，私钥没截图了。问题出在那个签名弹窗上。
TPWallet签名安全吗？只问私钥是否本地保存呢？答案偏向安全的；
问“点确认后会不会丢币”，答案取决于你签的到底是什么啊？他的截图里，页面域名比官方多了一个连字符，弹窗显示的合约地址是一串陌生字符。按钮写着“Sign”。他以为签名等于登录。实际是给某合约开了无限额度。攻击者拿到授权后，直接调用transferFrom转走代币。
TPWallet只是把链上请求翻译成弹窗，它不会替用户判断这个DApp是否钓鱼呢？签名安全吗？在无限授权加假域名的组合里，签名就是危险动作。
也有正常场景了。朋友在正规DEX卖币，TPWallet弹窗里能看到授权数量、Gas费、收款合约，他先授权100U，用完再撤销的，没出问题。私钥在本地签名，不经过TPWallet服务器，它安全的基础。盲签很麻烦，有些链和合约数据只显示十六进制。用户看不懂，只能凭感觉点确认的。TPWallet签名安全吗？不该问钱包，但该问自己是否理解这笔签名呢？
我的习惯是陌生网站发来的签名先拒绝，空投再香也不签；授权只给限额，不给无限；隔一段时间用区块浏览器查授权并撤销。大额资产不放热钱包，真要交互就用硬件钱包或多签了。
TPWallet签名安全吗？工具本身不是原罪。风险藏在“看都没看清就确认”的那一秒。
