老周把手机递过来时，屏幕上还停在一个标着“tpwallet官网”的下载页。去年秋天，他给一家跨境小团队做结算了，习惯在搜索引擎里敲很重要词找工具。那天排在第一的是带“官方”小标的链接，域名里多了一个连字符，页面配色、LOGO、客服头像几乎复刻吧？他平时转账前会核对地址，偏偏在下载入口上松了手。安装后按提示输入助记词，十分钟后钱包里的资产被转走。他反复说，自己不是不懂私钥。
只是看到“tpwallet官网”几个字就以为进了保险箱吧？陪他复盘时，我把搜索页截图打印出来，用红笔圈出三处，域名拼写、证书信息、下载包来源。
真正的tpwallet官网入口并不难找，难的是搜索结果混排里，广告、聚合页、仿冒站挤在一起，视觉上都在抢“官方”两个字。我的习惯是先从已安装应用里的关于页跳转，或者交叉核对官方社媒置顶链接，再看浏览器地址栏的证书主体是否一致呢？下载环节也别偷懒，安装包签名、版本号、更新日志都能对的。tpwallet官网不会在网页里要求你填写助记词。更不会让客服私聊索要验证码。老周那次，页面弹窗写着“安全验证”了，其实是把助记词直接送出去。
我还遇到一个读者，把仿冒站收藏成书签，每次更新都点进去的，直到某天发现收款地址被替换才反应过来。这类事故看得多了，我越来越不相信“官网”两个字本身，它只是一个起点，不是保险箱。
有人把tpwallet官网当成搜索页最上面的那个结果，有人把它当成客服头像旁边的认证标，结果都容易踩坑了。我自己的做法很笨，从tpwallet官网下载前，先关掉搜索广告，手动核对域名尾缀了；装好后先转一笔小额资产测试；客服，如果主动提助记词，直接结束对话。仿冒站会买很重要词、会做假证书、会抄客服话术了。很难把域名、签名、社媒入口和客服流程都对上。有次线下分享。我问多少人会看安装包签名啊？
举手的人不到三分之一。省一步核对，后面可能用十倍代价补，这笔账老周算过了，我也算过。
