全文
先分清楚连线、签名与转帐
钱包连上网站，只是互动流程的开始；接下来的要求才决定使用者交出什么权限。交易会要求网络执行一项操作，签名也可能代表登录或其他授权，因此不能只看有没有显示转出金额。以太坊交易文件把收件地址、金额及输入数据分开列出，正好说明「送给谁」与「要执行什么」是两个问题。实际确认时，可把画面上的应用名称、链别、合约地址与预期动作逐一对照；若只认得品牌，却不知道签名允许什么，信息仍不足以作出决定。
授权额度是一项持续存在的权限
ERC-20 的授权机制，让指定对象可在允许额度内代为移动代币。假设某个兑换操作只需要二十枚代币，但使用者批准了一千枚，这两个数字的差距就是额外开放的空间。这是说明机制的假设，不是任何平台的实际设定；也不能由此推算一定会损失多少。关键在于，完成一次兑换不等于所有剩余额度自动归零。将授权控制在用途所需范围，能让「这次要做的事」与「对方今后可以做的事」更接近，避免把便利性误认为没有代价。
保护密钥与看懂操作是两道防线
Ethereum.org 提醒不要交出私钥或恢复词，并说明硬体钱包隔离密钥的用途。可把两道防线理解为「谁能签名」与「签下了什么」：设备保护解决前者，使用者辨识请求处理后者。假设备份保存妥当，却主动批准了不符合本意的指令，备份本身并不能改写那项决定。反过来，即使每次转帐都核对地址，若复原数据已经外泄，核对画面的习惯也无法阻止别人另行操作。分开检查这两个问题，比把安全寄托在单一产品或单一步骤更有意义。
出现异常时，先界定受影响的范围
发现可疑授权与发现恢复词外泄，代表不同程度的问题。前者需要查明是哪个代币、哪个获授权对象及哪些链上操作；后者则涉及整个签名控制权。这里的判断原则是先找出权限边界，再评估下一步，而不是相信陌生人提供的「一键修复」。撤回授权也不能被理解为追回已经完成的转移。保留交易识别码、时间与原始连结，有助厘清已发生的动作；对尚未确认的损失或攻击方式，应保持未知，不因画面暂时正常就认定风险结束。也可以在操作前写下一句预期结果，再与钱包请求比较；若无法说明多出的权限有何用途，就应先把这项差异查清楚。