WalletConnect连接钱包安全吗？

扫码不是最后一步确认

WalletConnect连接钱包时，很多人以为二维码扫完就等于“安全登录”。更准确的理解是：扫码通常只建立钱包和 DApp 之间的连接通道，后面还会出现会话提案、账户权限、网络范围和签名请求。WalletConnect 文档把 pairing 描述为钱包与 DApp 建立连接、允许对方提出 session 的过程；真正需要用户判断的，是会话提案里允许了哪些链、哪些账户，以及后续要签什么。

先区分三类请求

第一类是 pairing，它解决“钱包和 DApp 能不能开始沟通”。第二类是 session proposal，它定义本次连接允许访问的账户、链和方法。第三类是签名或交易请求，它可能改变链上资产、授权额度或账户状态。安全判断必须一层层做：一个 DApp 能连接，不代表每个签名都安全；一个二维码来自熟人转发，也不代表域名可信。

哪些信号需要立即停下

如果页面域名和项目官方入口不一致、二维码来自群聊截图、钱包弹窗里的 DApp 名称陌生，或者对方催你连续签多个看不懂的消息，应立即拒绝。不要把“只是连接一下”当作万能解释。连接本身通常不应要求助记词、私钥、验证码或远程控制权限；只要出现这些要求，就已经越过正常钱包流程。可参考 加密货币钓鱼网站识别方法 的入口核验逻辑。

为什么要清理长期会话

WalletConnect usage 文档提供断开 session 的方法，说明会话本身是可以结束的。普通用户不需要理解 SDK 代码，但要理解安全含义：长期不用的 DApp 连接会增加误点、误签和权限混淆的机会。定期打开钱包的已连接网站列表，删除不再使用的项目，是比事后追资产更现实的防御动作。它不等于撤销所有链上授权，链上授权还要用对应网络的浏览器或钱包工具单独检查，站内 MetaMask授权撤销权限安全吗 可作对照。

风险边界

WalletConnect 是连接协议，不是项目背书，也不会替用户判断每个签名是否安全。本文只讲防御检查，不提供绕过钱包安全限制、伪造连接或诱导签名的方法。遇到误签或可疑连接时，先断网冷静、停止继续签名、保存域名和交易哈希，再从官方入口检查授权并考虑转移剩余资产。