“连接钱包”通常只是让网站读取公开地址和网络信息，本身不等于转走资产。但连接之后，网站可能继续请求消息签名、代币授权或交易签名。真正的风险来自用户没有分清这些请求的权限范围，在仿冒网站中批准了危险操作。
四类操作要分清
连接钱包用于建立会话；消息签名常用于登录或证明地址所有权；代币授权允许某个合约在额度内转移资产；交易签名则会执行转账或合约调用。钱包界面应明确标注操作类型，用户不能因为“没有显示Gas”就认为请求一定安全。
核对域名和会话来源
使用WalletConnect二维码时，要确认电脑端域名、手机钱包显示的应用名称与来源一致。不要扫描聊天群、邮件或陌生网页提供的二维码。攻击者可以复制真实网站外观，但域名拼写、证书和跳转来源往往存在异常。
警惕无限授权与模糊签名
代币授权应尽量选择具体金额和可信合约。对于无法解释用途的无限额度授权，应直接拒绝。盲签或只展示十六进制数据的请求风险更高，除非用户完全理解对应协议和调用内容，否则不应继续。
定期清理连接和授权
断开钱包连接并不会自动撤销链上代币授权。用户应定期检查已授权合约，撤销不再使用或来源不明的权限。高价值资产可以放在不连接日常应用的独立钱包中，交互钱包只保留有限余额，从结构上降低风险。
出现异常后的处理
若误签危险授权，应尽快撤销权限并把剩余资产转移到安全钱包；若助记词或私钥已经泄露，仅撤销授权并不够，必须更换钱包。保存可疑域名、交易哈希和签名时间，有助于后续分析。安全使用钱包的核心，是在每次点击确认前知道自己授予了谁、什么权限以及多长时间。
