如何撤销 TRON 上的 TRC-20 授权：USDT 无限授权的风险与检查方法
USDT TRC-20 授权不会自动过期，合约可以在无需您签名的情况下转走代币。本文介绍骗子如何获取授权、如何在 Tronscan 检查授权，以及如何分步撤销 TRON 授权。
简短回答：撤销 TRON 上的 TRC-20 授权（approve），就是把您曾经给某个智能合约的 USDT TRC-20 支出权限清零。只要授权仍然有效，该合约就可以在额度范围内随时转走代币，而无需您再次签名。您可以在 Tronscan 的 Token Approvals（授权检查）页面查看已授予的授权，并在那里或在钱包中撤销。撤销本身是一笔单独的交易，和任何合约调用一样会消耗 energy 和 bandwidth。
TRC-20 的 approve 是什么，为什么有风险
TRC-20 标准定义了两个配合使用的函数。approve(spender, amount) 会在代币合约中记录：spender 地址可以从您的地址转走最多 amount 个代币。transferFrom(from, to, amount) 才是真正的转账，调用它的不是您，而是获得授权的一方。剩余额度保存在代币合约中，可通过 allowance(owner, spender) 查询。
DeFi 离不开这个机制：像 SunSwap 这样的 DEX 要把您的 USDT 换成 TRX，它的合约必须有权从您的地址取走 USDT。问题在于授权不会自动过期。如果您一年前把授权给了一个后来被黑、或者从一开始就是陷阱的服务，这项支出权限仍然存在。
approve、transferFrom 和 allowance 的正式定义见TRON 官方文档中的 TRC-20 接口说明。请不要把代币授权和账户本身的权限混为一谈：修改 owner 和 active 权限是另一种机制，我们在如何检查 TRC-20 钱包是否遭遇多签骗局一文中有详细说明。
无限授权：方便，但也是风险
很多应用默认请求的不是具体金额，而是可能的最大值。在合约里这个数是 2^256−1，钱包会显示为“Unlimited”或一串巨大的数字。这样您就不必在每次操作前都签一次 approve。代价是：合约获得了支出您全部该代币余额的权利，包括现在的余额和以后转入的余额。
骗子如何拿到您 USDT TRC-20 的授权
授权时资金不会移动，余额也不变，所以签名看起来无害。以下是人们在不知情的情况下授出授权的典型场景：
- “USDT 干净度检测”：网站让您连接钱包并“确认检测”，但签名窗口里实际是把 USDT 授权给他人合约的 approve。
- 假交易所或 DEX 仿冒站：界面照抄知名服务，但 approve 指向攻击者的合约。
- 空投或“奖励”：钱包里收到不明代币，附带一个据称可以“领取”或兑换它们的网站链接。
- Telegram 上的“客服”让您通过链接“同步”或“解冻”钱包并签署交易。
- P2P 交易中，买家坚持要在其网站上“验证”您的钱包后才付款。
共同特征是：您既没有转账也没有购买，却被要求签署交易。任何正规的地址检查都不需要签名，公开地址就足以完成分析。
“没有风险，只需确认一下”这种套路，在假代币骗局中同样常见，详见flash USDT TRC-20 骗局解析。
如何检查 TRC-20 钱包的授权
- 打开 Tronscan，找到 Token Approvals（授权检查）页面，输入您的地址或连接钱包。
- 查看列表：每个代币都会显示获得授权的合约（spender）和额度。
- 重点标出 USDT 和其他高价值代币的授权，尤其是显示为 Unlimited 的。
- 把每个 spender 地址和您实际使用的服务逐一核对。陌生地址、未验证代码的合约、或您不记得的网站，都应考虑撤销。
- 确认您查看的是 TRON 上真正的 USDT 合约：TR7NHqjeKQxGTCi8q8ZY4pL8otSzgjLj6t。对假“USDT”的授权本身没有价值，但说明该钱包曾连接过可疑网站。
如果钱包用过 DeFi，您可能会发现比预想更多的授权。这并不代表它们都危险：给大型知名 DEX 的授权很正常。危险的是授给您不信任或不记得的对象的额度。
如何撤销 TRON 授权：分步操作
- 在 Tronscan 的 Token Approvals 页面，用 TronLink 或其他兼容钱包连接您刚检查的地址。
- 选择要撤销的授权并点击 Revoke。钱包会为该 spender 生成一笔金额为 0 的 approve 交易。
- 仔细看签名窗口：调用的应是代币合约、函数 approve、金额为零。只签这样的交易。
- 等待确认后刷新列表：被撤销的授权额度应变为零。
撤销是一次普通的智能合约调用，会消耗 energy 和 bandwidth；如果没有自己的资源，网络会燃烧 TRX 来支付。具体数量取决于合约和网络参数，钱包会在签名前显示预估。如果要连续撤销多个授权，建议提前在地址上准备好资源。
如何阅读签名窗口和 fee limit，请参阅TronLink 钱包使用指南。如果地址上没有能量，可以短期购买 TRON 能量，数量取决于操作类型，价格取决于市场。
撤销做不到的事
- 无法追回已经通过 transferFrom 转走的 USDT。TRON 上的交易不可逆。
- 如果助记词或私钥已经泄露，撤销也无济于事：拿到私钥的攻击者根本不需要授权。唯一办法是新建钱包并转出剩余资产。
- 不会取消其他代币的授权：授权按代币分别授予，撤销也需要逐个代币进行。
使用 DeFi 时如何避免无限授权
- 界面允许时，按具体操作授权精确金额，而不是 Unlimited。
- 尝试新服务时使用余额较少的独立钱包，主要的 USDT 放在从不连接任何网站的地址上。
- 每月打开一次 Token Approvals，撤销不再使用的服务的授权。
- 不要在通过私信、评论或陌生代币描述中的链接进入的网站上签署交易。
租用能量与授权：界线在哪里
正规的能量租赁从不要求您签署 approve，也不需要把钱包连接到服务商的网站。能量通过委托到账：服务商从自己的地址签名交易，您只需提供接收地址。如果某个“能量租赁”服务要求您对 USDT 签署 approve，那不是租赁，而是在试图获取您代币的访问权。
授权就是一份没有期限的代币委托书。按需精确授予，不再需要时立即收回。
需要能量来转账或撤销授权？在 Telegram 机器人 @overtronbot 中只需填写地址和数量，能量通过委托到账，无需签署任何 approve，也无需提供私钥。
Read also
TRON 上的 approve 通俗来说是什么？
它是记录在代币合约中的一项许可：指定的地址或合约可以在不需要您再次签名的情况下，从您的钱包转走不超过设定数额的该代币。
如何撤销 USDT TRC-20 授权？
打开 Tronscan 的 Token Approvals 页面，连接钱包，选择授权并点击 Revoke。钱包会为该合约发送一笔金额为零的 approve。
在 TRON 上撤销授权要花多少钱？
撤销是一次合约调用，会消耗 energy 和 bandwidth。数量取决于合约和网络参数，钱包会在签名前显示预估。没有自有资源时，网络会燃烧 TRX。
撤销授权后 USDT 能找回吗？
不能。撤销只阻止今后的访问，已经通过 transferFrom 转走的代币无法通过网络手段追回。
怎样查看我给哪些合约授过权？
在 Tronscan 的 Token Approvals 页面可以看到代币、被授权合约和额度。也可以直接查询代币合约的 allowance 函数。
给 SunSwap 或其他 DEX 授权危险吗？
本身不危险，没有授权 DEX 就无法取走代币完成兑换。风险在于无限额度：更安全的做法是授权精确金额，不再使用时撤销。
租用 TRON 能量需要授权吗？
不需要。服务商把能量委托到您的地址，只需要您的地址。要求您对 USDT 签署 approve 是诈骗信号。
助记词被盗后撤销授权有用吗？
没有用。拿到助记词的攻击者可以直接控制钱包。请尽快新建钱包并把剩余资产转过去。