主动拒绝空投：TPWallet 的可验证安全设计手册
https://www.sxtxgj.com.cn ,引子：当网络赠予“礼物”变成攻击载体，TPWallet 的设计选择是一种有意识的拒绝。本手册从工程与合规视角，逐项解剖为何以及如何不接受空投，并给出可操作流程。
一、设计原则与数字身份
- 原则：最小信任、最小暴露、可审计。钱包以确定性密钥（BIP32/BIP39）作为根，数字身份由链上可验证凭证（签名的 DID 片段）绑定到地址；只有用户显式将某一资产与其身份关联时，钱包才将该资产纳入可交互资产列表。
二、智能交易服务与空投隔离
- 智能交易模块仅响应来自已配置合约或白名单的事件。任何未经登记的代币转账会被记录为“外来UTXO/外来余额”，不可自动展示或用于交易，避免垃圾代币诱导的批准与调用风险。
三、保险协议与理赔边界
- 保险层基于合约化保险协议（例如索赔审计提交 + 多签仲裁），明确排除非用户授权产生的空投损失。若用户主动选择接受某空投，系统将提示保险不可覆盖或需额外保费。
四、交易透明与审计流程
- 所有拒绝行为写入本地与链下日志；可导出的审计包包含时间戳、交易哈希、合约地址、事件主题及签名验证结果，便于第三方审计或法务回溯。
五、多链资产保护
- 对账层采用链别隔离：账户模型链与UTXO链分别处理；跨链桥入账前置多重校验（消息证明、Merkle 证明）。未验证跨链消息被放入隔离池，需人工或合约验证后才转入主资产池。
六、闪电网络与比特币支持
- 对比特币，钱包区分 on-chain UTXO 与 Lightning 通道余额。Lightning 入账仅接受经信道对端确认的承诺交易，外来链下空投没有意义；对链上“赠与”采用 PSBT 检核，拒绝未经用户同意的输出合并。
七、详细处理流程（步骤化）
1) 节点接收转账事件→2) 自动归类为“已登记资产/外来资产”→3) 若外来，写入隔离日志并禁用交互→4) 通知用户并附审计包与风险提示→5a) 用户可通过官方 dApp 发起“认领流程”：包含合约验证、白名单审查、签名确认；5b) 或选择将该资产转出到隔离地址或销毁；6) 若用户接纳，保险与交易模块会重新评估并提示费用与覆盖边界。
结语：拒绝空投不是封闭，而是将“接受”行为从被动改为可控的主动选择。TPWallet 的工程实现用隔离、可验证的流程把风险降到最低，同时保留用户通过审计与授权恢复领取的自由。