代币授权指自托管钱包用户授予智能合约地址在指定额度内转移钱包内对应代币的链上权限，是去中心化交易所、借贷协议等DeFi应用运行的基础机制，并非资产直接转账，却也是普通投资者遭遇资产被盗最常见的风险源头。在EVM兼容公链中，ERC20代币本身无法让合约直接划转资产，必须依靠approve函数完成权限委托，合约后续依靠transferFrom功能执行代币划转，这也是每次首次兑换、质押代币时，钱包弹出Approve确认窗口的根本原因。很多投资者容易混淆普通转账与授权，转账会立刻减少钱包余额，授权操作完成后资产仍保留在钱包地址内，只是开放了被合约调用的通道，权限长期有效，不会自动失效。
代币授权分为有限额度授权与无限额度授权两类，二者风险差距极大。正规去中心化应用为优化体验，常会默认发起无限授权请求，免去用户多次签名支付Gas费的麻烦，一旦确认无限授权，对应合约能够随时划转钱包内该币种全部余额，即便后续资金转入钱包，依旧处在授权范围之内。有限授权可以手动修改数值，仅开放本次交互所需代币数量，交易完成后额度消耗完毕，风险可控。市场大量钓鱼诈骗正是利用无限授权机制，伪装成领取空投、兑换代币、激活资产页面，诱导用户确认授权，攻击者无需获取助记词与私钥，依靠授权权限就能分批转移钱包内主流稳定币与主流代币。
币圈存在大量关于代币授权的普遍认知误区，首先断开钱包和网站连接不等于撤销授权，断开操作仅阻止网站读取地址信息，区块链上记录的权限不会消失；其次授权不会随着关闭浏览器、切换网络自动失效，权限永久保存在链上，必须主动发起撤销交易才能终止。另外原生主网代币一般不需要授权，但是包装版本代币适用授权规则，不少骗子利用这一点混淆概念，引导用户签署高危授权。日常交互过程中，签名前务必核对授权合约地址、代币种类以及授权额度，陌生链接跳转产生的授权弹窗，应当直接拒绝，不要盲目点击确认按钮。
做好授权管理是降低资产风险的核心手段，投资者需要定期查询钱包所有历史授权记录，及时撤销长期不再使用的协议权限。多条公链都可以借助区块浏览器或者专用授权查询工具扫描账户权限，找到可疑合约之后发起撤销交易，撤销操作同样需要支付少量Gas手续费。长期参与DeFi交互的用户建议养成习惯，优先选择有限额度授权，减少无限授权确认次数，大额资产尽量存放于离线冷钱包，热钱包只保留日常交易小额资金，从源头缩小授权带来的安全隐患。
