钱包授权是什么？2026 代币授权（Approve）查询与撤销教程：Revoke.cash、Etherscan 怎么用，授权被盗后怎么办

很多钱包被盗的人都有同一个疑问：「我从来没把助记词告诉别人，币怎么就没了？」答案往往是授权。你在某个网站点了一下「确认」，就等于给了对方一张可以从你钱包里取走某种代币的许可，之后他转走代币，不需要你再确认一次。

授权原理和操作参考 ethereum.org、Revoke.cash、Etherscan 官方说明（2026 年 10 月查阅）。

钱包授权是什么

在去中心化交易所兑换、在借贷协议存款时，钱包经常会先弹出一个「授权（Approve）」请求。它的意思是：允许某个智能合约，在一定额度内动用你钱包里的某种代币。

ethereum.org 的 ERC-20 代币标准文档把 approve 函数描述为「授权第三方账户是否可以花费某个账户中的一定数量的代币」。之后合约就可以通过 transferFrom 函数，把你的代币转走，只要不超过授权额度。

Revoke.cash 的说明更直白：如果你允许一个智能合约花费你的代币，它可以在任何时候花费这些代币。

不同类型的授权

类型	授权方式	撤销方式
普通代币（ERC-20，如 USDT）	approve，设定对方地址和额度	把额度重新设为 0
单个 NFT	授权某一个 NFT	NFT 转出后自动清除，或主动撤销
整个 NFT 系列	setApprovalForAll，允许对方转走该系列的任何 NFT	把这个开关设为关闭
Permit 签名	链下签名，之后由对方提交上链生效	生效前很难取消，生效后按普通授权撤销

为什么授权这么危险

• 无限授权：很多应用为了减少你重复授权的次数，默认请求「无限额度」。ethereum.org 建议不要给项目无限访问权限，并定期撤销；
• 合约被攻击：Revoke.cash 举过 2023 年 4 月 SushiSwap 被攻击的例子，曾经授权给该合约的用户，代币有被盗风险。也就是说，知名项目的旧授权也可能出事；
• 钓鱼网站：骗子诱导你授权给他控制的合约，或者让你签一个把 NFT 以 0 ETH 挂单卖出的签名；
• 授权不会过期：几年前用过一次的协议，授权到今天依然有效；
• 断开连接不等于撤销：ethereum.org 特别提醒，在网站上「断开钱包」后，合约仍然可以使用已经授予的额度。

Permit 签名为什么更危险

Revoke.cash 解释，Permit 签名（EIP-2612）允许你在链下签一条消息来完成授权，不需要发交易，也不花 Gas。问题在于：

• 很多钱包对普通授权会弹出警告，对 Permit 签名通常不会；
• 它看起来很像普通的「网站登录签名」；
• 骗子拿到签名后会尽快提交上链，你几乎来不及取消。

所以，任何要求你「签名」的弹窗，都要看清楚内容。看不懂的一律拒绝，见Web3 钱包入门里的三类签名说明。

钱包授权怎么查询

ethereum.org 列出的工具包括 Etherscan、Blockscout、Revoke.cash、Unrekt、EverRevoke 等。新手最常用的是下面两个。

这类工具本身也会被仿冒。只从你确认过的网址进入，加入书签后再使用。

方法一：Revoke.cash（支持 100 多个网络）

按 Revoke.cash 官方教程：

1. 在搜索栏输入你的钱包地址（或 ENS 名称），也可以直接连接钱包。只查看的话，输入地址就够了；
2. 选择网络。授权是按链分开的，以太坊上的授权和 BNB Chain 上的授权要分别查看；
3. 对列表进行排序、筛选；如果怀疑某个地址，可以按授权对象（spender）地址搜索；
4. 点击 Revoke 撤销；如果以后还要用这个协议，也可以点铅笔图标把额度改小。

图 1：Revoke.cash 中文首页，黄框为地址搜索栏，输入钱包地址即可查看授权，无需先连接钱包；撤销授权时才需要连接钱包并签名（截图于 2026-10-28）

方法二：Etherscan 授权检查页（以太坊）

1. 打开 Etherscan 的 Token Approvals 页面（在 More 菜单中，网址为 etherscan.io/tokenapprovalchecker）；
2. 连接钱包，或按页面提示输入地址；
3. 按代币类型查看：ERC-20、ERC-721、ERC-1155（后两者是 NFT）；
4. 页面会列出每个授权的交易哈希、更新时间、代币、授权对象和额度，还会汇总风险金额（如果这些合约出事，可能暴露的资产）；
5. 勾选要撤销的授权，点击撤销并在钱包中确认。

图 2：Etherscan「Ethereum Token Approval」页面，黄框分别为地址搜索框和 Connect Wallet 按钮，可以查看并撤销以太坊上的代币授权（截图于 2026-10-28）

Etherscan 也在页面上注明，这个工具按现状提供、不作任何保证，使用风险由你自己承担。其他链可以用对应的区块浏览器，例如 BNB Chain 的 BscScan、Polygon 的 Polygonscan。

怎么撤销授权：完整步骤

ethereum.org 的撤销步骤：

1. 打开工具网站，连接钱包；
2. 确认钱包和网站在同一个网络上，否则只能看到当前网络的授权；
3. 选择要撤销的合约。列表会显示每个合约的额度，可以只撤销一个，不确定的话也可以全部撤销；
4. 在钱包里确认撤销交易。会弹出一笔新的交易，这是正常的，必须支付 Gas 才能完成；
5. 几分钟后刷新复查，确认被撤销的授权已经从列表中消失。

撤销需要钱包里有该链的原生币支付手续费，Gas 的概念见Gas 费说明。

哪些授权应该撤销

• 不认识的授权对象：一律撤销；
• 很久不用的协议：撤销，下次要用再重新授权；
• 无限额度：改小或撤销；
• 刚刚在可疑网站上点过确认：马上查，马上撤销。

ethereum.org 说明，撤销不会影响你的质押、资金池或借贷头寸，也不会终止收益，可以放心清理。

钱包授权被盗了怎么办

1. 立即撤销可疑授权。Revoke.cash 提醒，骗子通常在你签名后很快就转走代币，所以越快越好；即使已经被转走，也要撤销，因为对方将来可能再次使用这个授权；
2. 转移剩余资产到一个全新的钱包；
3. 判断助记词是否泄露：如果你曾经在网页上输入过助记词、导入过来历不明的钱包，或者没有任何授权却被转走了资产，那就不是授权问题，而是私钥泄露。按欧易的建议，立即把资产转移到其他地址，原地址不再使用，见助记词安全指南；
4. 不要相信「追回服务」：撤销授权追不回已经被盗的币，任何声称能付费帮你追回的人都是二次诈骗，见常见骗局识别。

怎么预防

• 签名前看清楚是登录、授权还是转账；
• 能设置额度就只授权本次需要的数量。ethereum.org 提到，部分钱包允许你手动设定授权额度上限；
• 大额资产和日常交互钱包分开，大额放在不常用的钱包或硬件钱包。注意硬件钱包也挡不住你亲手确认的恶意授权；
• 定期检查授权，养成每隔一段时间清理一次的习惯；
• 不碰来历不明的空投代币和 NFT，见空投骗局；
• 想了解授权在 DeFi 里是怎么用的，见DeFi 是什么。

资料来源

• ethereum.org：如何撤销智能合约对你加密资金的访问权限（工具列表、撤销步骤、需付 Gas、断开连接不等于撤销、授权不过期）
• ethereum.org：ERC-20 代币标准（approve、allowance、transferFrom）
• Revoke.cash：What Are Token Approvals?（授权类型、SushiSwap 被攻击案例、钓鱼手法）
• Revoke.cash：How to Revoke Token Approvals（Revoke.cash 与 Etherscan 操作步骤、支持网络数量、被盗后仍应撤销）
• Revoke.cash：What Are EIP2612 Permit Signatures?
• Etherscan：Token Approval Checker
• 欧易学院：私钥与助记词究竟有多重要？（泄露后立即转移资产）

以上页面均于 2026 年 10 月 28 日查阅。