去年冬天，一位朋友把一枚NFT转到新钱包，在搜索框里敲下tpwallet官网四个字后，点进了排在前面的推广链接。页面配色、图标、下载按钮几乎复刻正版吧？连客服弹窗都做得像模像样。他下载了一个安卓包，安装时系统提示未知来源。
他随手允许。第二天，钱包里的资产被清空。问题不在区块链了，也不在私钥算法，但在那个看似官方的入口。复盘时我看到，仿冒站最常用的手法是域名替换，把tpwallet官网对应的域名里加一个字母、换一个后缀，或者用近似连字符。用户只看标题里的“官网”二字，很少逐字核对地址栏了。更麻烦的是这类页面会引导输入助记词。声称“验证钱包所有权”或“迁移旧版本”。真正的tpwallet官网不会在网页端要求你粘贴助记词，判断真伪的硬线。
一次输入，等于把资产控制权交出去。另一个案例，相反。
一位做链上交易的用户同样搜索tpwallet官网，他先打开官方社交媒体账号，从置顶链接进入下载页。再核对应用商店的开发人员名称和下载量。安装后，他先创建空钱包，转入小额资产测试收发，确认合约地址与区块浏览器一致的，才把主要资产迁入。整个过程多花了十五分钟，却避开了最常见的钓鱼路径。他还养成了一个习惯，不点搜索引擎广告，不扫来路不明的二维码，不向任何网页提交助记词。我的判断很直接，搜索tpwallet官网时。风险一般不在钱包本身，但在“急着用”的心态。
仿冒站吃准了用户怕麻烦，把下载和验证步骤压缩成一步。可钱包安全偏偏没有捷径。
官网入口应该多重渠道交叉确认，域名拼写、HTTPS证书、社区链接、应用商店信息都要对得上了。HTTPS不是免死金牌，仿冒站也能申请证书。真正可靠的tpwallet官网，不会催你输入助记词的，也不会用“限时迁移”制造恐慌。把tpwallet官网放进收藏夹，比每次搜索更稳妥。遇到要求助记词、私钥或Keystore文件的页面，直接关掉。
资产被盗后追踪极难，链上转账不能逆。事后补救远不如事前核对。这个案例里，朋友损失的是一枚NFT，但且有对“官网”二字的信任。搜索框很方便，方便的地方，一般也是钓鱼者布网的地方。
