杭州一位做跨境小生意的老周，上个月搜“tpwallet官网”，点进一个带“广告”标识的页面。页面配色、按钮、钱包图标几乎照搬吧？下载按钮还写着“官方正版”。
他装完APK。导入旧助记词，十分钟后钱包里0.3 ETH和几枚USDT被转走吧？事后他翻浏览器记录，发现域名比tpwallet官网多了一个连字符，服务器IP在境外，页面底部的社群链接全是死链。这类仿冒站有个共同点，搜索“tpwallet官网”时排前面，网址拼写会做微调的，把字母o换成0，或在里面间塞入“-cn”。真正的tpwallet官网不会网盘、论坛附件或陌生二维码分发安装包，下载入口会指向官方应用商店或官网自身域名的。老周后来对比发现。假站首页弹窗催促“立即更新，否则资产冻结”，但tpwallet官网的提示语气克制，没有客服主动私聊索要助记词。
这个差别看起来小，却是判断真假的很重要。他，最后在社群里找到一份域名核对清单，用手机浏览器手动输入tpwallet官网，逐字核对SSL证书和页面底部备案信息，才重新下载。
导入前的，他先新建了一个空钱包，转进0.01 ETH做测试，确认收款地址和链上记录一致，才把剩余资产挪过去的。旧助记词直接废弃。没有再用。整个过程花了两个晚上，损失追不回来了，至少止住了后面的风险。他说，现在每次访问tpwallet官网都会先看地址栏了。
不再信搜索结果的“官方”标签。我的观察是搜索引擎广告位和自然结果之间。有些人分不清。仿冒者买的就是“tpwallet官网”这类精确词，再用视觉模仿降低戒心。真正稳妥的做法就是把tpwallet官网加入书签，从书签进入；任何页面让你填助记词、私钥或短信验证码的，直接关掉。钱包安全没有太多高深技巧，少一次手快。
少一次复制粘贴的，一般就能避开老周踩过的坑。
