适用范围：先明确检查对象
“tp钱包mdex挖矿有哪些风险检查要点”涉及钱包、网页和合约三个层面。以下仅解释通用安全机制；不能据此确认TP钱包、MDEX的具体入口、矿池规则或当前运行状态。“挖矿”这一名称也不足以说明资金如何使用，仍需区分页面要求的是连接钱包、授权代币还是转移资产。
入口与密钥：页面外观不能证明身份
ethereum.org的安全说明强调了仿冒链接、假客服和助记词泄露风险。检查入口时，应关注实际域名及跳转后的地址，不能仅凭社交平台预览、标志或熟悉的页面样式判断真实性。
助记词和私钥代表账户控制权。索要这些信息的“矿池验证”“钱包修复”不属于正常的合约交互要求；截图备份还可能因云同步扩大泄露范围。陌生人要求远程控制设备，同样会暴露钱包使用环境。
代币授权：看清对象、资产和额度
OpenZeppelin的ERC-20文档说明，approve用于设置指定地址的代币支出额度，allowance表示剩余额度，transferFrom可在授权范围内代为转移代币。其实现中，最大整数额度具有无限授权的语义。
因此，授权检查需要同时对应三个问题：哪个地址获得权限、涉及哪一种代币、额度是否过大。页面显示“参与挖矿”，并不能解释授权对象为何可信。这里讨论的是相应代币的支出权限，不能直接等同于对整个钱包所有资产的控制权。
签名与合约：识别实际请求
签名前应核对网络、目标地址以及钱包展示的调用内容，确认请求是否与页面说明一致。授权、转账和其他合约调用产生的效果不同；界面上的按钮名称不能代替对实际请求的理解。
ERC-20是一套代币接口规范，符合该规范不代表某个矿池经过安全验证。通用合约文档也不能证明具体部署没有漏洞、管理权限限制或额外逻辑。对于无法解释的请求，应视为尚未完成风险核验。
常见问题：连接、授权与追回的区别
连接钱包是否等于授权？通常连接只建立页面与钱包的交互关系，代币支出授权是另外的权限；但页面随后可能继续请求签名或交易，需要分别辨认。
断开连接是否取消授权？断开网页连接通常不会清除已写入链上的授权。撤销授权针对后续支出权限，不能撤回已经发生的转账。
出现收益数字能否证明安全？网页数字本身不能证明链上资产状态。对要求额外付款才能解锁、退款或领取奖励的说法，应警惕诈骗；已确认的链上转账通常无法由所谓客服直接撤销。