我朋友老周去年急着转ETH，在搜索引擎里敲了“tpwallet官网下载”，排在第一的广告位域名是tpwallet-app.com。他点了下载，安装后界面几乎一样吧？导入助记词三分钟后，钱包里的3个ETH和若干NFT被转走。他后来才发现，真正的tpwallet官网下载入口域名是tpwallet.io，那个广告站是钓鱼站。为什么这类案例反复出现呢？山寨团队买竞价排名的，仿造UI，甚至把安卓安装包签名做得像模像样。普通用户很难分辨。我观察到一个细节的，有些人下载钱包前不看域名后缀，只看Logo和页面配色。
老周说“页面一模一样，谁能想到是假的”啊？心理被利用得明明白白。还有一点，假包一般会在安装后请求“导入钱包”权限。
输入助记词了，数据直接传到远程服务器。怎么找到真正的官网下载呢？我的习惯是手动输入tpwallet.io，或者从官方推特、GitHub主页跳转了。安卓用户注意看包名，iOS用户认准开发人员账号。不要在第三方下载站、电报群、网盘链接里下。一个做安全的朋友告诉我，他们分析过一批假包，里面塞了剪贴板劫持和助记词上传逻辑。下载前花十秒核对域名。比事后追资产轻松太多。
下载只是第一步。安装后先断网生成钱包，核对地址首尾，小额测试了。
助记词手抄。不截图，不存云盘。老周后来换了新钱包，每次下载都先查域名备案和SSL证书。他说那3个ETH就当交学费，我不想任何人再交这笔钱了。加密资产的交易不能逆，钱包下载源头错了，后面所有安全习惯都白搭。你现在正搜钱包下载的，不要急着点第一个结果。花十秒看域名，比事后追资产容易得多。
加密世界没有客服帮你回滚交易的，谨慎是唯一的保险。老周的经历不是孤例。每天都有类似故事在出现，区别了，只在于你愿不愿意多看一眼地址栏。