警惕！TP钱包在哪些场景下会被他人恶意设置多签

警惕TP钱包被恶意设置多签的多重风险场景：其一，仿冒TP钱包的钓鱼网站、非官方篡改版APP会诱导用户登录授权，骗子借此获取钱包操控权限，悄悄为钱包设置多签合约；其二，助记词、私钥泄露是高危诱因，社交平台钓鱼诱导分享、远程协助时被窃取密钥后，他人可直接操作增设多签；其三，用户点击不明DApp链接时未仔细确认授权，会被悄悄授予多签管理权限，用户需通过官方渠道下载APP，不随意授权陌生应用，妥善保管密钥，筑牢资产安全防线。

作为国内用户量最大的去中心化钱包之一,TP钱包（TokenPocket）凭借多链兼容、操作便捷的优势，成为数百万加密资产持有者的常用工具，为了提升大额资产的管理安全性，TP钱包内置了多重签名（Multi-Sig）功能：正常情况下，用户可以自行设置2/3、3/5等多签规则，让多笔资产操作需要多个授权签名才能完成，避免单人失误或恶意操作导致资产损失，但近年来，越来越多的用户遭遇了恶意多签攻击——攻击者未经用户同意，将普通钱包强制修改为多签模式，并将自己的地址添加为签名者，最终导致用户无法单独控制资产，甚至直接被盗走全部加密货币，本文将详细拆解TP钱包被恶意多签的常见场景，帮助用户识别风险、做好防护。

先厘清：TP钱包的多签功能与恶意多签的本质区别

在了解风险场景前,我们需要先明确两个核心概念：

正常多签的合法用途

TP钱包的多签功能本质是一种安全增强工具,常见应用场景包括：DAO组织的公共资产管理、团队项目的资金共管、大额加密资产的多人验证等，比如一个3/5多签钱包，意味着需要至少3个预先设置的签名者共同确认，才能完成转账、提现等操作，既避免了单人私钥泄露导致的全盘失控，也防止了团队成员的恶意挪用，正常多签的设置完全由用户自主操作，所有签名者都是用户信任的对象，且操作过程会在TP钱包内明确弹窗提示。

恶意多签的攻击逻辑

恶意多签则是攻击者利用技术漏洞或用户疏忽,未经授权将用户的普通钱包修改为多签模式，并将自己的地址悄悄加入签名列表，此时用户即使能正常登录钱包，尝试转账或提现时也会被要求“等待其他签名者确认”，而这个“其他签名者”正是攻击者的地址，用户不仅无法自主动用资产，甚至可能在不知情的情况下，被攻击者直接转走全部加密货币。

TP钱包被恶意多签的6大高频场景

根据TP钱包官方安全团队发布的2023-2024年加密资产安全报告，超过62%的恶意多签攻击都集中在以下6类场景中：

假冒TP钱包APP与钓鱼链接陷阱

这是目前最常见的恶意多签攻击途径,攻击者会通过社交平台、短视频平台、短信邮件等渠道，发布仿冒的TP钱包下载链接或“空投福利”链接，诱导用户下载植入了恶意代码的仿冒APP；或是搭建与TP钱包官方页面高度相似的钓鱼网站，骗取用户输入助记词、私钥等敏感信息。 真实案例：2024年3月，杭州的加密投资者小李在小红书刷到一条“TP钱包官方升级送100USDT空投”的帖子，点击帖子内的链接下载了仿冒APP，登录自己的TP钱包时，页面弹出“安全升级验证”弹窗，要求他输入助记词完成升级，小李按照提示操作后，仿冒APP后台自动读取了他的助记词，并将攻击者的地址添加为多签签名者，两周后小李尝试转出账户内的ETH时，页面突然提示“需要2/3签名者确认”，联系TP钱包客服后才发现，自己的钱包已经被改成了2/3多签模式，