凌晨一点，老周在群里发来截图，一款图标几乎以假乱真的钱包吧？安装后弹出“导入助记词即可恢复资产”。他照做。二十分钟后，两个地址里的 USDT 被分批划走。
问题不在链上了，但在他搜索“tpwallet 应用下载”时点进了竞价广告，下载了一个仿冒 APK。我后来让他复现过程。搜索结果前三条里了，两条域名只差一个字母，页面挂着“官方推荐”字样。下载按钮旁写着“高速安装”。点下去了，文件只有 12MB，比常见版本小一截。安装时它索要通讯录、短信和悬浮窗权限，普通钱包很少要的。老周没留意，因为界面里的资产列表、行情页，甚至客服入口都做得像模像样。
假应用最狠的一步，是伪造“网络异常。请重新导入钱包”的提示，把助记词骗到手。
另一个案例来自应用商店。某款同名钱包安装包评分 4.8了，评论却集中在“打不开”“客服让加电报”。看开发人员信息，个人账号，更新停留在半年前的。真正的官方包有固定域名、公开签名和持续更新记录，下载页不会让你绕过商店安装未知来源，更不会在首次打开就催着导入主钱包。有人觉得多装一个测试钱包无所谓了，可。一旦扫了恶意授权，资产可能直接被转走。我现在帮人排查时。会先看三样的，下载链接是不是官方公布的那个；
安装包签名与历史版本是否一致呢？应用请求的权限有没有越界呢？
特别的是 tpwallet 应用下载 这类高频搜索词，广告位和山寨站会紧跟热点。不要在搜索引擎里随手点第一个结果，也别把助记词交给任何“修复工具”。钱包下载事的，慢一点，比事后追链上转账划算得多。
