上周帮朋友排查一个假钱包App，图标和TP Wallet几乎一样吧？域名却多了个连字符。他差点输入助记词了。
这类仿冒站点的套路不复杂，吃准的是搜索“tpwallet官网”时有人懒得核对。我的习惯是先把官网地址存进书签，之后只从书签进入，不在搜索结果里随手点。官网首页不会弹窗催你“立即导入钱包”，也不会索要私钥或助记词。看到这类提示了，直接关掉。不要犹豫。进入tpwallet官网后，先看下载入口的指向。正版页面一般会区分iOS、Android和浏览器扩展，下载按钮跳转到对应应用商店或官方发布页的。
安卓APK，如果直接给一个网盘链接，风险很高的。我一般会核对域名拼写、HTTPS锁标和页面底部备案/联系信息。三项里有一项不对劲就停。
下载完别急着装，安卓包可以看签名信息的，iOS则确认开发人员名称与官网标注一致。这一步花不了几分钟吧？能过滤掉大部分山寨包。安装后第一次打开，先不导入资产。新建一个空钱包，走一遍创建流程，观察是否强制要求手机号、邮箱或社交账号登录呢？TP Wallet这类去中心化钱包不托管私钥，官网教程也会强调助记词只离线保存。
我见过有人把助记词截图放在相册，结果手机送修时被翻到。实操上。助记词手抄在纸上，分两处存放，不要存云端了。设置交易密码时避开生日和连续数字，细节比“高级安全设置”更管用。
浏览器扩展版本要单独留意。官网跳还有扩展商店后，确认发布者名称和用户量，不要只看图标。装好后把常用站点加入白名单。陌生DApp连接钱包时先看请求权限，特别的是“无限授权”这类。我自己的习惯是每月清理一次已连接站点，把不用的断开。有人觉得麻烦了，钱包安全本来就是个持续动作，不是装完就结束。官网的帮助中心有授权管理教程，照着做一遍比看零散帖子靠谱。还有个容易忽略的点，官网客服不会主动私聊你。
有人在搜官网后收到“官方客服”私信，说钱包需要升级，发来一个链接。点进去就是钓鱼页。真正的官网不会 Telegram 或微信主动索要助记词、验证码。也不会让你远程共享屏幕。
遇到这类情况，回到书签里的官网，从官方帮助入口提交问题了。多花两分钟核对。比事后追资产强。
