Trust Wallet安全吗？如何撤销TRON代币授权

Trust Wallet现在安全吗？

截至2026年11月15日，Trust Wallet应用尚无已确认的漏洞：追踪近期TRON上USDT盗窃潮的Bitquery表示没有找到漏洞证据，但也无法排除 ^[1]。其报告的数据于11月12日核实，统计显示10月5日至11月11日期间，至少$5.42M（约542万美元）的USDT被从454个TRON钱包中转走 ^[1]。

Bitquery解释说，Trust Wallet之所以与此事相关，是因为受害者称自己使用它，而且与部分盗窃有关的iPhone入侵工具包会专门寻找它 ^[1]。区块链只显示资金在地址之间流动，看不到背后的手机或应用，因此Bitquery只能将一起盗窃与一位iPhone用户公开的经历对应起来 ^[1]。

Trust Wallet自己的建议指向手机，而不是应用。它在11月6日的文章中表示，两个漏洞利用工具包Coruna和DarkSword针对运行旧版iOS的iPhone：Coruna针对iOS 13.0至17.2.1，DarkSword针对iOS 18.4至18.7，并称"运行最新版iOS的设备不受其影响" ^[2]。11月11日，它又补充说，其iOS用户不受另一个名为worse_query的漏洞影响，而且从不以明文存储助记词或私钥 ^[8]。

因此，诚实的回答是：没有证据表明应用本身被攻破，但钱包的安全程度取决于其背后的设备和助记词。如需了解盗窃事件的完整时间线，请参阅Pouyam指南Trust Wallet Hacked? How to Protect Your USDT on TRON。本指南回答许多读者接下来会问的问题：撤销代币授权能否保护自己，以及具体怎么做。

TRON上的代币授权是什么？

代币授权是您签署的一项许可，允许智能合约在设定的限额内从您的钱包转走USDT等TRC-20代币，而无需再次征得您同意 ^[4][6]。从技术上讲，您的钱包会在代币合约上调用approve(spender, amount)；获得授权的合约随后可以调用transferFrom，在该额度内取走代币 ^[4]。

授权很常见。TRON上的交易所、兑换和借贷应用会请求授权，以便在您交易时转移代币 ^[5]。风险在于，离开应用后授权依然有效。Trust Wallet指出，大多数用户没有意识到授权会无限期有效，如果某个合约"后来变得恶意"，它可以"无需再次确认"就转走代币 ^[3]。

许多应用会请求无限额度，省得您以后再次授权。TronLink支持中心警告，这类授权让其他地址和合约可以"在不事先通知的情况下"转移资产，并建议在授权前确认产品是否开源并经过审计 ^[5]。TRON Guide将无限授权描述为额度被设为最大可能值的授权，并称这类授权是TRON上最大的攻击面 ^[6]。

每项授权也只对应一种代币。撤销某个应用的USDT授权，并不会取消您为同一应用授予的其他代币授权，因此每一项都要分别检查和撤销 ^[10]。

TRON上的USDT被盗是代币授权造成的吗？

没有证据指向这一点：Bitquery称，近期TRON盗窃潮中的窃贼早已掌握钱包密钥，这与诱骗您通过签名交出代币的盗币网站不同 ^[1]。正是这一区别决定了什么能保护您。

Bitquery描述了它用来寻找受害者的模式。一个手续费钱包或由其资助的归集地址，先向受害者地址发送几枚TRX用于支付网络手续费；几秒后，全部USDT余额一次性转出，随后剩余的TRX也被转走 ^[1]。在10月25日的一个案例中，18枚TRX到账，18秒后519,093枚USDT被转出 ^[1]。Bitquery认为这一顺序出自早已掌握私钥或助记词的人之手 ^[1]。Coindaro在报道Bitquery的初步发现时指出，Bitquery只有在一笔转账就清空钱包全部USDT时才将其计为受害者，这是"掌握私钥者盗取资金的模式" ^[7]。

通过授权盗窃则不同：攻击者的合约用transferFrom拉走代币并自付手续费，因此受害者钱包不需要TRX ^[4]。Bitquery的报告说得很直白："在这里，窃贼早已掌握密钥" ^[1]。

Bitquery也说明了为什么这很重要。有一个钱包被清空了两次：10月26日损失19,069枚USDT，收到新资金后，11月10日又损失4,140枚USDT ^[1]。报告称，"只要助记词"仍在使用，"被清空的钱包就会一直对窃贼敞开" ^[1]。撤销授权关不上这扇门。撤销仍是良好的安全习惯，Trust Wallet自己的安全清单也包括撤销陌生授权 ^[9]，但它只是第二步，而不是被盗密钥的解药。

如何在Trust Wallet中撤销代币授权？

打开最新版Trust Wallet，在资产区域选择Approvals标签，查看列表，然后在任何您不再信任的应用旁点击Revoke ^[3]。Trust Wallet表示，该功能会在您授予授权时记录下来，显示每个应用可以访问哪些代币及额度，标记与已知诈骗有关的合约，并在您撤销时从区块链上移除授权 ^[3]。

1. 先从App Store或Google Play更新Trust Wallet；Trust Wallet的步骤要求使用最新版本 ^[3]。
2. 在主屏幕的资产区域打开Approvals标签 ^[3]。
3. 检查每一项：代币、应用或合约以及额度。重点关注USDT和无限授权。
4. 对任何您不认识、不再使用或被钱包标记为有风险的授权点击Revoke，并确认交易 ^[3]。
5. 在钱包中留一些TRX：在TRON上，撤销是一笔会消耗bandwidth和Energy的交易 ^[4]。

一个限制：Trust Wallet的公告没有说明Approvals标签覆盖哪些区块链 ^[3][10]。如果您的TRON授权没有显示在那里，或者您想再核对一遍，请使用TronScan，它会列出一个地址授予的所有授权，下一节将介绍 ^[4][6]。

撤销只对授权有效。它无法撤回已经完成的转账，也无法保护助记词已被他人知道的钱包 ^[10]。

如何在TronScan上撤销TRC-20授权？

在TronScan上搜索您的TRON地址，在账户页面打开授权列表，然后取消每一项不需要的授权，并在钱包中签署交易；这会把额度设为零 ^[4][6]。TronScan于2021年5月14日加入了这一取消功能，并提供授权变更历史 ^[4]。

1. 自己在浏览器中输入tronscan.org；不要点击聊天或广告中的链接 ^[10]。
2. 将以T开头的地址粘贴到搜索栏 ^[6]。
3. 在账户页面打开授权标签，根据页面版本，它叫Approval或List of Approval ^[4][6]。
4. 查看每一项的代币、获得授权的合约和额度。优先处理未知或未验证的合约以及无限授权；TRON Guide建议撤销您无法确定身份的合约 ^[6]。
5. 点击该行的Cancel或Revoke，并为该地址连接兼容的钱包，例如TronLink ^[6]。
6. 阅读签名界面：它应在代币合约上调用approve，额度为0。如果要求其他操作，请停止 ^[10]。
7. 确认后刷新列表；在TRON上通常只需几秒 ^[6]。

TronLink用户也可以在钱包内完成同样操作：TronLink支持中心指出，可通过Wallet Management再进入Approval Management查看或取消授权 ^[5]。每次取消以及之后的重新授权都会消耗bandwidth和Energy；如果没有自己的Energy，网络会燃烧TRX来支付 ^[4]。

应该撤销哪些代币授权？

撤销任何您无法解释的授权、任何授予已不再使用的应用的无限授权，以及授予空投、"验证"或Energy租赁网站的一切授权 ^[6][10]。只保留您正在使用且信任的服务的授权，如果日后再次使用，再重新授权即可。

下表总结了常见情况。一个简单的测试很有用：如果您说不清某个被授权地址是什么，它就不应该能动用您的USDT ^[10]。

当心仿冒代币。针对并非真正Tether合约的假"USDT"的授权，碰不到您真正的USDT ^[10]。TRON上真正的USDT合约是TR7NHqjeKQxGTCi8q8ZY4pL8otSzgjLj6t；采取行动前，请在TronScan的代币页面核对这个地址。

Bitquery在盗窃数据中还发现了一个相关伎俩：向某个归集地址付款的地址中，超过一半是机器人，它们从外观相似的地址发送极小金额和假代币，这种方法叫地址投毒，目的是让人日后复制错误的地址 ^[1]。请始终从可信来源复制收款地址，绝不要从交易记录中复制。

如果我的助记词可能已泄露，该怎么办？

把钱包视为已被攻破：在已更新且干净的设备上用新的助记词创建新钱包，转移剩余资产，并停止使用旧钱包 ^[1][10]。Bitquery表示，谁掌握助记词，谁就掌握资金，既不需要密码，也不需要接触手机 ^[1]。

1. 先更新手机。Trust Wallet建议iPhone用户安装设备可用的最新版iOS，如果暂时无法更新，就开启Lockdown Mode ^[2]。
2. 创建新钱包，把新的助记词写在纸上。Trust Wallet称，Coruna和DarkSword工具包会搜索照片、截图和备忘录，因此不要把助记词存放在这些地方 ^[2]。
3. 先向新地址发送一小笔测试金额，再转移其余资产。留足支付手续费的TRX。
4. 让旧钱包保持空置。如果有新资金转入，窃贼可能再次将其转走，Bitquery追踪的一个钱包就发生过这种情况 ^[1]。
5. 如发现异常，请带上钱包地址和交易哈希联系Trust Wallet客服；Trust Wallet表示，它绝不会索要您的助记词，也绝不会主动私信您 ^[2]。

余额较大时，可考虑直接从制造商购买硬件钱包。如果资金已经被盗，请尽快报告Tether以及资金流入的任何交易所，因为Bitquery指出，USDT只能在再次转移之前被冻结 ^[1]。不要理会任何提供付费追回服务的人。本文为一般性安全指导，不构成财务建议。

如何识别假冒的授权检查工具？

只使用TronScan、TronLink或您钱包自带的Approvals标签，并自行输入网址，因为假冒的"授权检查"网站是一种常见的钓鱼伎俩，其中的Revoke按钮实际会签署一项新授权 ^[10]。真正的撤销总是把额度设为零。

• 任何真正的撤销工具都不会索要您的助记词或私钥。绝不要把它们粘贴到任何"一键撤销"网站。
• 签名前请阅读函数和额度：额度为0的approve才是撤销；额度很大的approve、转账或权限变更都不是 ^[10]。
• 警惕"低价Energy"租赁和空投网站：TronTransfer称，有些网站会让您授权一项租赁，而其签名实际上是无限额度的USDT授权 ^[10]。
• 也要在TronScan上检查账户权限：一些TRON诈骗会更改地址的控制权，撤销授权无法恢复这一点 ^[10]。
• 不要理会自称Trust Wallet客服的私信；Trust Wallet表示它从不主动发消息 ^[2]。

如果您被假客服或追回服务骗走资金，请向警方或所在国家的网络犯罪部门报案，并保留报案副本。关于iPhone安全的更广泛背景，请参阅What Are Passkeys? How Passwordless Sign-In Works and Why It Is Safer，其中解释了为什么手机安全如今保护的不止一个账户。