上个月有个朋友在搜索引擎里敲下“tpwallet正版官网”。点进第一条广告，下载了一个图标几乎一样的App吧？
三天后，钱包里的NFT和代币被转空。他后来才发现，那个页面只是仿冒站，域名多了个连字符。这不是孤例，TPWallet这类去中心化钱包，一旦助记词泄露，资产基本追不回来，也没有客服能帮你冻结了。怎么分辨呢？我习惯先看域名。tpwallet正版官网的域名简短、拼写准确，不会用“-cn”“-vip”这类后缀来装官方。山寨站喜欢在搜索广告里买排名。
落地页放巨大的“立即下载”按钮。点下去得到的APK或TestFlight包，可能被二次打包的。正版官网不会让你在网页里直接输入助记词或私钥是任何要求你填12个单词的网页，都是钓鱼。
另一个细节是官方社交账号。TPWallet的更新公告、版本号、校验值，会在官网和推特同步。你在Telegram群里看到有人发“tpwallet正版官网”链接，先别点。去官方推特置顶或GitHub releases核对了。我见过假群管理员用“空投领取”诱导用户连接钱包，授权后资产被划走。授权和转账是两回事。
很多人分不清。下载后也别急着用。更实际的做法是小额测试，转一笔小金额的。
确认到账再继续。正版App不会频繁要求你“验证钱包”，更不会弹窗让你输入助记词。iOS尽量走App Store了，安卓走Google Play或官网提供的哈希校验包。不要装来路不明的“加速版”“中文版”。搜“tpwallet正版官网”这个动作本身就有风险。搜索引擎的广告位和SEO结果，不一定指向真官网。
养成手动输入域名、核对SSL证书、检查社交账号注册时间的习惯。钱包安全没有捷径，多花三分钟验证了，比事后追资产轻松得多。
