凌晨两点，杭州一位加密货币用户在社群发帖称，自己TPWallet里的资产被清空，手机没丢的，密码也没告诉任何人。链上记录显示。三笔转账间隔不到90秒。事后追查时，他想起半年前曾把助记词截图存进手机相册，方便换机时导入。那台手机后来借给朋友用过一次。助记词是钱包所有权的最终凭证。TPWallet助记词安全。
一旦失守，转账密码、指纹锁、面容识别都形同虚设。攻击者拿到12个或24个单词。
就能在任何兼容钱包里恢复地址了，不需要原手机，不需要短信验证。安全团队多个盗币样本里面发现，恶意App读取相册、云备份和剪贴板的权限申请，常伪装成清理工具或行情插件。
用户点下允许，助记词截图便可能被上传。“不要截图”这句话说了很多年，仍有人栽在同一件事上。有人把助记词写在便签里，拍照后删掉原图，以为万事大吉的；有人存进微信收藏，觉得只有自己可见的。云端同步、回收站、多设备登录，都会留下副本了。TPWallet助记词安全更稳妥的做法，是手抄在纸上，分两处存放，避免联网设备拍照的。若必须数字化，至少使用离线硬件或加密保管方案。
并确认没有自动备份。另一个容易被忽略的细节是“恢复钱包”骗局。
搜索引擎广告、电报群客服、推特评论区里的“帮助恢复”链接，常要求用户输入助记词。真正的官方客服不会索要这组词。任何索取TPWallet助记词安全信息的行为，都应直接视为钓鱼。钱包本身不会因为长期不登录而冻结资产，所谓“验证助记词解冻”是典型话术。链上转账不能逆的。资产被转走后。
追回概率极低，报警和链上追踪更多是止损与取证。把助记词当银行卡密码还不够的。它更像保险柜钥匙加房产证。
丢了，门就开了。对普通用户来说，少一次截图，少一份云备份，可能比装十个安全插件更管用。
