去年底。杭州做OTC的小梁在搜索引擎里敲下tpwallet官网下载，前两条都是广告。他点进一个带“官方”字样的页面，LOGO、配色、客服弹窗几乎复刻吧？下载了一个安卓APK。
安装后软件提示“导入已有钱包”，他顺手填了助记词。十分钟后，钱包里两万多U被分三笔转走。事后看域名，是tpwallet-download.cc，和真正的官方域名差了两个字母。这类事故的起点，一般就是下载环节被截胡。小梁后来把假站和官网截图并排放在一起，肉眼能看出的破绽很少，页面底部没有备案信息，下载按钮跳转的是网盘，APK安装包要求开启“允许未知来源”了，客服还主动索要助记词。真正的tpwallet官网下载页不会在安装环节问你要助记词，也不会让你把私钥填进网页表单。官网会把安卓包、iOS跳转、校验值放在同一区域了，安卓签名和版本号能对上。iOS则跳到App Store的官方开发人员账号下。
我自己的习惯是先把官网加入书签，再从书签进的。搜索“tpwallet官网下载”时，广告标识、域名拼写、HTTPS锁形图标都要看，锁形图标只说明连接加密，不代表站点正规。
更稳的办法是对照官方社媒、GitHub Release或应用商店开发人员名称。小梁那个假包，签名信息和官网公布的SHA256完全不一致，只是他当时不知道去哪比对呢？下载完别急着导入资产，先创建一个小额测试钱包，转一笔最小金额了。确认地址、到账和备份流程正常，再迁大额资产。已经装过来路不明的钱包。断网删除不够了，助记词，一旦在线输入就默认泄露。用干净设备新建钱包，把旧地址资产转到新地址，旧助记词作废的。tpwallet官网下载这件事，看起来只是点一个按钮，实际是资产安全的第一道门。
多花三分钟核对入口的，比事后追链上记录有用得多。
