TokenPocket是目前人们用来管理链上资产时非常常用的一个工具, 而在它的使用过程中,授权环节其实是整个安全链条中最容易被忽略的部分。很多人在安装了钱包之后, 急急忙忙地去连接去中心化应用程序, 完全省略了授权检测这一个步骤, 这相当于把自家房子的钥匙随意交给不认识的人。
在实际的操作环节之中, 我通常的做法是让使用者进入到TokenPocket这个应用软件的设置界面内部去查找已授权合约列表的内容, 然后根据列表中的项目名称以及相关联的链的信息进行逐一的仔细核对工作, 目的是为了看一看是否存在那些没有来头的或者是不知名的小程序应用混入其中, 接着还要使用区块链浏览器工具针对那个钱包地址的所有授权记录进行搜索查询, 最后将这两份不同的数据结果放在一起进行相互比对和确认, 这样的话, 对于那些符合常规情况的和那些来源不清晰的条目, 基本上就可以顺利地把它们区分开来并且筛选出去。
有一个特别容易被人漏掉的细节, 就是跨链授权的事情。同一个钱包如果接连了好几条不同的链子, 那么你在A这条链上面把授权给撤了的时候, 绝对不表示在B这条链上面也就是安全的了。所以, 定期间隔性地全面跑一次所有链子的授权扫描工具进行操作, 这种办法肯定要比等到发生了事故以后再来进行补救还要强上非常多。
我身边看到过太多的例子, 那些人总觉着自己都没有动手去操作过就不会有啥大问题, 最后的结果, 就是因为签署了一个钓鱼性质的智能合约里面的签名, 就把自己的本金全部都给转走了。
