前置条件
- 你有一个用来查询空投的钱包地址（建议不是存放主力资产的主钱包）。
- 你清楚如何区分「连接钱包」和「签署交易」这两个截然不同的动作。
空投查询网站要连钱包吗？答案是：看链。不需要签名的"只读连接"相对安全，要求你点"签名"授权的，一律关掉。
连接钱包不等于授权。很多正规的查询工具（如Dune、Etherscan）只需要读取地址信息，这种连接是只读的，不会拿走你的币。但钓鱼网站会用"查询资格"做幌子，诱导你签署一笔"授权交易"——这等于给了对方一张无限额度的支票。
步骤1：判断当前网站是否需要"只读连接"还是"签名授权"
操作目标：区分连接请求的性质，决定是否继续。
操作方法：点击"连接钱包"后，观察钱包弹窗的内容。
情况A：弹窗显示"查看地址"或"仅查看"，无需点击签名按钮 → 安全。网站只能读取你的钱包地址和公开数据，不能操作资产，可放心查询。
情况B：弹窗要求你点击"签名（Sign）"或"确认"，并显示一段看不懂的合约代码 → 高度危险。这种操作可能是在授权恶意合约，一旦签署，骗子就能转走你钱包内该链上的所有同类资产，要立即拒绝，关闭页面。正规空投查询不会要求你签名来"验证资格"。
完成标准：确认你只进行了"只读连接"，没有执行任何签名操作。
步骤2：核查官方渠道——用权威来源交叉验证
操作目标：确认你访问的网站是官方公告指定的入口，而非仿冒域名。
操作方法：去项目方的Twitter、Discord或官网公告，找到空投查询的链接。不要直接点击社媒私信或群聊里的链接。
情况A：查询链接与官方公告完全一致 → 可继续操作。
情况B：链接来自私信、邮件或不明群聊，域名包含bitget-claim.com、airdrop-net等相似域名 → 立即关闭。这是典型的钓鱼网站，利用近似域名诱导用户受骗。
完成标准：你能在项目方官方渠道中找到完全一致的域名。
高危风险提示
助记词是钱包的最高权限，任何网页、App、客服索要助记词，100%是诈骗。正规项目绝不会要求你在网页上输入助记词来"验证"或"领取空投"。一旦输入，资产在几秒内就会被转走，且区块链交易不可逆，无法追回。
步骤3：用"专用钱包"隔离风险
操作目标：将一个资金量极少的钱包用于所有空投查询操作，把主力资产和查询操作彻底分开。
操作方法：准备一个专门的钱包，里面只放少量用于Gas的币（如ETH、BNB），不放其他大额资产。
情况A：使用主力钱包连接陌生查询网站 → 风险极高。一旦误签恶意授权，所有资产都可能被盗。
情况B：使用资金量极少的"空投专用钱包"查询 → 风险可控。即使误操作，损失也仅限于该钱包内的小额资金。
完成标准：你已创建一个专用钱包，并只在其中进行空投查询操作。
步骤4：定期检查并撤销授权
操作目标：清理已授权的合约，防止之前的授权被恶意利用。
操作方法：使用Revoke.cash或钱包自带的授权管理工具（如币安钱包的安全中心），定期查看你的钱包授权列表。
情况A：发现有不明地址的"无限授权（Infinite Approval）" → 立即撤销。这表示该地址可以随时转走你钱包中所有该类代币。
情况B：授权列表中只有你主动使用过的正规DApp（如Uniswap）的有限授权 → 正常，继续观察即可。
完成标准：授权列表中没有可疑地址或无限额度的授权记录。
常见风险误区
很多用户误以为"我只是查一下，不领币就没风险"。实际上，恶意授权和领不领币无关。骗子只等你点"签名"那一瞬间。很多受害者直到资产被转走都不明白为什么"我只是连接了一下钱包"就丢钱了。记住：只有"签名"能转走资产，连接钱包本身只是读取地址，不会让你丢钱。
操作校验与后续习惯
校验方式：用Revoke.cash输入你的钱包地址，查看"Token Approvals"列表。如果列表为空或只有已知DApp的授权，说明当前无恶意授权风险。
后续操作习惯：每次完成空投查询后，打开Revoke.cash检查一次该钱包是否有新增的可疑授权。如果有，立刻撤销。
