免责声明：内容不构成买卖依据，投资有风险，入市需谨慎！

在以太坊上撤销代币授权：现在只需0.52美分

2026-09-14 17:47:16

代币授权详解：为何兑换后授权依然有效

如果你曾在去中心化交易所交换过代币、向借贷池存入资金或通过桥接协议转移资产，那么多年前你忽略的一个授权很可能至今仍然有效。它允许非你所有的合约从你的账户中转移代币。这种授权不会随着兑换结束而终止，不会在一年后过期，也不会因背后项目的废弃而失效。只有当你主动撤销时，它才会结束。

多年来，人们清理这些授权的阻力始终如一：每次撤销都是一笔独立的交易，每笔交易都需要支付Gas费，而持有二十个旧授权的用户需要支付二十倍的Gas费用。然而，这种观点已不再成立。我们在2026年9月14日进行了测算，目前在以太坊主网上撤销单个授权的Gas成本约为半美分。

代币授权（也称为Allowance）是指授予外部合约地址从你的账户中提取特定数量代币的权限。这并非设计缺陷，而是ERC-20标准得以运作的基础机制。

原因在于标准的构建方式。ERC-20代币是一个拥有独立账本的智能合约。当你希望将代币交给另一个合约时，该合约不能直接拿走它们，必须由自己提取。这需要两个步骤：首先通过approve函数进行授权，然后在实际操作中，合约通过transferFrom函数拉取代币。你可以在EIP-20标准描述中了解这一拆分机制，自2015年以来一直如此。

关键在于第二步中未发生的情况。标准并未规定授权在使用后会过期。授权金额会被拉取的金额扣除，如果初始授权金额足够高，剩余部分将继续存在。这正是此处问题的核心。

无限授权：uint256最大值对你的余额意味着什么

许多界面根本不询问具体金额，而是直接将授权设置为标准允许的最高值。该值被称为uint256最大值，是一个78位数字。在实践中，这意味着永久无限额，涵盖你当前及未来该代币的全部余额。

对于界面运营商来说，这很方便，因为你只需批准一次，之后即可进行交易而无需进一步确认。但对于用户而言，这将损害的上限推高。限额为500 USDC的授权在最坏情况下损失500 USDC；而无限授权则意味着一旦授权合约被攻破，你将损失该地址上持有的所有该代币。

这种情况并非理论假设。最近几周，我们多次报道了用户从未泄露助记短语却丢失余额的案例：既包括来自钱包清除者的操纵性签名请求，也包括具有内置冻结和回滚功能的代币。旧的授权以同样的方式起作用，只是更隐蔽：一旦设置完成，它永远不会再要求你点击确认。

明确授权不是什么同样重要。它不给你任何人的私钥，不授予对你ETH余额的访问权限，且仅覆盖你授予它的单一代币。任何持有十种代币并分别为每种授予无限授权的人，都有十个独立的入口点，而非一个。

授权就像你曾经发出但从未收回的一把备用钥匙。

我们的测量：一小时内有5,910个授权，其中13.9%为无限额

为了让规模不仅仅停留在声称层面，我们进行了实际测量。此分析由cryptoticker.io于2026年9月14日自行执行。

方法简述：通过公共以太坊节点，我们在连续300个区块的时间窗口内读取了使用频率最高的五个ERC-20代币的所有授权事件，并按授权金额大小排序。该窗口涵盖区块25,972,833至25,973,132，即2026年9月14日UTC时间02:54至03:55，约一小时的网络运行期。审查的合约包括USDT、USDC、DAI、WETH和LINK。

在这一小时内，发生了5,910次授权事件，分布在3,301笔交易中。其中820笔达到uint256最大值，即无限额。占比为13.9%。另有11笔授权低于最大值但高于10的30次方单位，对于每种代币而言，这也等同于无限额。合计占比为14.1%。

各代币之间的分布差异显著。对于WETH，2,140个授权中有477个为无限额，占比22.3%。对于USDC，2,475个中有203个，占比8.2%。USDT为1,181个中的130个，占比11.0%。DAI（83个中的7个）和LINK（31个中的3个）样本较小，鉴于案例数较少，对结论贡献有限，此处列出仅为完整性起见。

同一测量中的另一个数据值得注意，因为它指向相反方向：5,910个事件中，有1,241个是将授权设置为零的事件，即撤销。因此，在此窗口期内，每五笔授权交易中就有一笔是清理操作。这表明用户对这一问题已有认知，且有可测量的用户群体正在采取行动。

用这种方法无法确定的内容也在此说明。我们没有评估接收地址背后是声誉良好的协议还是欺诈合约，因为向知名交易所界面授予无限授权与向未知地址授予无限授权是两回事。我们还仅测量了在此窗口期内新授予的授权，排除了多年来积累的现有开放授权存量，这类存量无法通过此类查询读取。最后，这些数据不包括Layer-2网络（如Arbitrum、Base或Optimism）上的所有授权，也不包括遵循Permit2模式的基于签名的授权，后者根本不会产生授权事件。因此，实际的开放授权总数高于此处显示的数字。

Gas费为0.049 Gwei：如今在以太坊上撤销授权的真实成本

测量的第二部分涉及价格。这里的数字也是查询值而非估算值。我们选取了六个参考日期，每个日期读取间隔50个区块的十个区块，并取基础费用的中位数。

在2026年9月14日，该中位数为0.0492 Gwei，十个样本的范围为0.0389至0.0540 Gwei。七天前为0.0493 Gwei，30天前为0.0616 Gwei。回顾三个月前的情况则呈现不同画面：2026年6月15日中位数为0.2097 Gwei，3月17日为0.1155 Gwei，2025年9月12日为0.1539 Gwei。因此，今天的水平仅为三个月前价值的四分之一左右，约为一年前价值的三分之一。

这就引出了一个问题：撤销实际上消耗多少Gas？我们没有采用经验法则，而是进行了测量：从测量窗口内的交易中筛选出恰好产生一个事件的23笔交易，即纯授权操作，无其他附加内容。它们的Gas消耗范围从24,080到55,906单位不等，中位数为48,837。

由此得出计算结果。48,837个Gas单位乘以0.0492 Gwei等于0.0000024 Ether。根据2026年9月14日从Kraken获取的2,170.21欧元/ETH价格，这相当于0.52美分。在测量的Gas范围内，价格在0.26至0.60美分之间波动。清理十个授权的成本约为五美分。作为对比：在6月15日，相同的撤销操作成本为2.22美分，这反而支持了我们的观点而非削弱它。即便那时，操作也不昂贵。

这才是分析的实际发现所在。成本不能作为保留旧授权的理由，而且它在一段时间内已不再具备这种合理性。尽管如此，仍有13.9%的新增授权保持无限额。阻碍人们的不是交易手续费，而是兑换完成后缺乏清理的习惯。

检查代币授权：如何在几分钟内查看开放状态

入门并不引人注目。你只需要公开地址，无需助记短语，也无需安装软件。

最快的途径是使用授权检查器。最著名的是Revoke.cash，我们在2026年9月14日调用时它可以正常访问，它能按代币和合约地址分解地址的开放授权。Etherscan也有自己的工具，名为Token Approval Checker，生成相同的列表；该页面会阻止自动化请求，但在普通浏览器中易于访问。

你可以简单地输入地址并查看列表，而无需连接钱包。对于简单的查询，这完全足够，且更安全：你首次使用的界面不需要立即访问你的账户。只有当你真正想要撤销时才需要连接，因为这需要交易和签名。

如何识别高风险授权

三个特征最能说明问题。如果金额列指向无限数量，无论当前余额如何，授权都是开放的。如果授予日期追溯到数月或数年前，且你记不起该协议，就没有理由让它继续运行。如果接收地址没有已知合约名称，仅有裸十六进制地址，则应给予特别关注。

这里有一个限定条件：授权给知名、高频使用的协议并不意味着无害。近几年的重大损失主要发生在建立已久的合约上，这些合约后来才暴露出漏洞。

撤销授权：逐步操作流程

从技术上讲，撤销与授权相同，只是金额设置为零。你调用相同的approve函数，并将允许的数量设为无。此后，合约将无法再拉取任何代币。

实际操作如下：打开授权检查器，连接钱包，从列表中选中要删除的授权，并确认交易。在签名前注意钱包显示的内容。它必须是针对你当前正在清理的代币合约的approve操作，且金额必须为零。如果钱包显示的是余额转账或功能不可识别的签名，请立即中止。

每个授权都需要单独的交易，即使界面同时提供多个选项也是如此。因此，请按测量的每操作半美分来预估成本，而不是按整个列表的固定价格计算。拥有大量旧授权的人可以根据余额大小进行操作，先从实际持有资产的代币开始。对于你不持有零单位的代币，无限授权虽然杂乱，但在那一刻并无影响。只有当资产再次进入地址时，它才会变得危险。

固定金额将潜在损害精确限制在你操作所需的金额内。

有限授权而非无限授权：固定金额究竟能实现什么

更有效的步骤发生在撤销之前，即在授予的那一刻。大多数钱包允许你在确认时覆盖提议的无限金额，并输入此次特定操作的确切数量。

为此付出的代价是便利性。如果你下周想再次交易，你必须重新授权，这需要另一笔交易。按照今天测得的Gas价格，每笔操作的成本为五分之一美分。因此，频繁交易者每年需支付几欧元，以确保不留任何开放授权。

相比之下，收益在于：有限授权将潜在损害限制在输入的金额内，并且由于在操作中被耗尽，它实际上会自动过期。正是这一特性，使得合约多年后被攻破时，区别仅仅是令人烦恼的损失与生存性损失。

Permit2和签名的特殊情况

一种较新的模式使用签名代替交易。在Permit或Permit2名称下，你通过签署消息来授予权限，合约随后自行提交。这节省了授权的Gas成本，因此也不会产生区块链上的授权事件，这也是为什么我们的测量中缺少这些权限的原因。

这意味着两点。首先，签名请求可能具有与授权相同的效果，尽管看起来更无害且无需成本。其次，通过签名授予的权限仅在工具明确支持Permit2时才会显示在某些授权检查器中。在将空列表视为干净列表之前，请检查这一点。

撤销不能保护什么：助记短语、签名和网络钓鱼

整洁的授权可以限制损害，但它们不是盾牌。它们仅针对一种攻击模式提供帮助：你曾授予访问权限的合约后来利用此权限对付你。

如果你的助记短语丢失，它们没有帮助，因为持有密钥者不需要授权。如果你在新伪造页面上签署新交易，它们也没有帮助，因为那一刻你是在授予新权限而非使用旧权限。对于带有自身阻塞或回滚功能的代币（许多受监管和代币化资产内置了此类功能），它们也无济于事。

因此，撤销应与其他习惯并列，而非替代它们：交易和托管使用分离的地址，将不动用的持仓存放在硬件钱包中，并在确认前养成阅读每个签名请求的习惯。

分离地址：为何授权仅花费账户持有的金额

有一种结构性的方法来化解这一话题，且完全不需要任何工具。授权只能触及适用地址上存在的资产。任何人只要分离其持仓，无论其授权列表多么整洁，都能限制损害。

在实践中，这意味着一个用于交易和使用合约的地址，以及一个用于存放不动用持仓的第二个地址。第二个地址不连接任何去中心化界面，因此从不授予授权。如果你还通过单独的钱包管理它，而不是使用相同的软件安装，你就分离了受损界面同时访问两个账户的风险。

这种分离有一个副作用你应该知晓：在你自己的地址之间移动持仓在税务上算作转账而非出售。你仍应清晰记录它，因为自2026年初以来，你的交易所一直在向税务机关报告这些动向，未解释的流出转账日后会引发疑问。具体传输了什么内容，我们在加密报告义务的概述中进行了详细拆解。

撤销代币授权：要点总结

今天检查开放状态。

在不连接钱包的情况下，将你的地址输入授权检查器，获取列表。任何发现一年未使用的协议的无限授权的人，已经度过了一个有价值的下午。对于旨在随后不动用的持仓，我们的硬件钱包比较值得一看。

按余额顺序清理。

从你实际持有资产的代币开始，逐步向下。按测量的每笔撤销约半美分的成本，这是一项耗时半小时而非耗资的任务。哪种钱包在确认时用通俗语言显示授权，详见我们的软件钱包比较。

在下一次授权时改变习惯。

覆盖无限提议，输入操作所需的金额。这将在你下次交易时增加一笔交易成本，但作为回报，它将未来的每次损失限制在你设定的金额内。任何人若想保持持仓和动向的清晰概览，可在我们的投资组合追踪器比较中找到合适的工具。

（截至2026年9月14日。本文不构成投资建议。价格和费用结构会发生变化；购买前请与提供商核实条款。）

免责声明：

本网站、超链接、相关应用程序、论坛、博客等媒体账户以及其他平台和用户发布的所有内容均来源于第三方平台及平台用户。百亿财经对于网站及其内容不作任何类型的保证，网站所有区块链相关数据以及其他内容资料仅供用户学习及研究之用，不构成任何投资、法律等其他领域的建议和依据。百亿财经用户以及其他第三方平台在本网站发布的任何内容均由其个人负责，与百亿财经无关。百亿财经不对任何因使用本网站信息而导致的任何损失负责。您需谨慎使用相关数据及内容，并自行承担所带来的一切风险。强烈建议您独自对内容进行研究、审查、分析和验证。

展开阅读全文

70.00% 30.00%

利好

利空