如何找出并撤销高风险的代币授权
什么是代币授权，为什么旧的授权和无限授权有风险，应该先撤销哪些，以及怎样在你所有的钱包里撤销它们。
更新于 2026年11月8日
简而言之
使用 DeFi 应用时，你会授权它替你转移某个代币，而且往往不设上限，这项权限会一直有效，直到你收回。检查每个钱包的授权，先撤销那些给了你不再使用或不信任的合约的无限授权，以后尽量按确切金额授权。撤销是一笔交易，所以要花一点 Gas 费，你的代币不会移动。
每次你在 DEX 上兑换、向协议存入资产，或者挂单出售代币时，都会授权一个智能合约从你的钱包转移某个代币。这项权限就是授权，大多数应用默认会要求无限授权。它不会过期。几个月后，如果那个合约被攻击，或者它本来就不是它声称的那样，它仍然可以拿走那个代币。
什么是授权
在 Ethereum 和其他 EVM 链上，代币授权会设定一个授权额度：某个合约最多可以从你的钱包转移多少某种代币。应用要求授权，是为了不用每次都重新授权。有些授权是通过签名而不是交易给出的，比如 Permit 和 Permit2 这类标准，这让人很容易在不知不觉中给出授权。
为什么旧授权有风险
- 合约日后被攻击：一个你只用过一次的协议，可能在几年后被黑，它拿到的授权也随之失守。
- 它从一开始就是恶意的：盗币网站会请求看起来很普通的授权。
- 无限就是全部：无限授权额度覆盖你今后在这个钱包里持有的每一个该代币，而不只是你授权时持有的那些。
先撤销哪些
- 给未验证合约的无限授权：这些风险最高；Burokku 会替你标出来。
- 给你不再使用的应用的授权：没有理由继续保留。
- 你大量持有的代币上的授权：余额越大，一项授权可能造成的损失就越大。
怎样在 Burokku 里检查和撤销
授权工具会列出你所有钱包和链上每一项仍然有效的授权额度：代币、被允许使用它的合约、额度多少、你何时授权、风险评分，以及风险金额，也就是高风险的授权对象今天就能拿走的金额。连接钱包，勾选要收回的授权并签名；如果你的钱包支持批量处理，每条链上的撤销只需要一次签名。风险授权提醒也会在你的任何一个钱包给未验证合约无限授权时立即通知你。
其他检查方式
撤销授权并不一定要用 Burokku。Revoke.cash 可以在许多链上一次检查一个钱包，大多数区块浏览器也有代币授权检查工具。Burokku 的不同之处在于，它把你所有的钱包放在一起检查，并且持续检查。
防止再次发生
- 按确切金额授权：只要应用允许，就不要选无限授权。
- 看清你签的是什么：Burokku 的签名解析会把签名请求翻译成通俗的语言，并标出盗币特征；它的链接检查会告诉你一个网站是不是真的。
- 不时做一次体检：钱包体检会给每个钱包一个安全评分，并把最重要的修复放在最前面。
常见问题
- 撤销授权会转移我的代币吗？
- 不会。它只是收回应用转移代币的权限。你的代币留在原处。
- 撤销授权要花钱吗？
- 要，花一点 Gas 费。撤销是一笔链上交易，发生在当初授权的那条链上。
- 只观察的钱包可以撤销授权吗？
- 你可以看到观察中钱包的授权，但撤销需要签名，所以要先连接那个钱包。Burokku 从不替你签名。
- 我的钱包被盗了，现在怎么办？
- 先把剩下的资产转到一个新钱包，再撤销授权。在 Burokku 里，紧急模式会把这两件事都准备好：撤销所有授权，并把资金转移到一个安全地址，所需签名尽可能少。