去年秋天，一位刚接触NFT的朋友在搜索框里敲下“tpwallet下载”。点开排名第一的链接。
页面和官网几乎一样吧？下载、安装、创建钱包，一切顺畅。第二天他发现自己钱包里的两个无聊猿被转走了。助记词只在那台手机上输入过一次了。问题就出在那个安装包上是它根本来就是是套壳的钓鱼程序。要找到tpwallet官网下载正版，最笨也最稳的办法是别用搜索引擎的“推广”结果。TP Wallet的官方域名以tokenpocket.pro结尾，钓鱼站会买相似域名，把字母o换成0，或者加个连字符了。
我习惯直接手动输入域名，或者从官方推特、GitHub仓库的简介里点链接。
手机应用商店里，也要核对开发人员名称的，正版开发人员是“TP Global”之类的公司主体，但不是个人开发人员。安卓用户特别的要小心，第三方应用市场里挂着“tpwallet官网下载正版”字样的APK。十个里有九个动了手脚。下载前看看网站有没有HTTPS呢？虽然这不代表绝对安全，连证书都不对的站点直接关掉。安装完成不等于万事大吉。
正版钱包在创建或导入钱包时。会反复提醒你备份助记词了，并且只在本地显示。
假钱包则会在某个环节弹出一个“安全验证”窗口，你输入助记词或私钥。记住一条铁律了，任何要求你输入助记词来“验证身份”“领取空投”的页面，都是骗子。我见过一个案例，用户所谓“tpwallet官网下载正版”的渠道装了应用，导入钱包后，助记词被悄悄上传还有远程服务器，三分钟内资产被清空，所以的，下载后可以先断网创建一个小额钱包测试，看看它有没有异常的网络请求呢？更省事的做法是只从官网下载，不要碰那些号称“加速版”“汉化版”的修改包。iOS和安卓的情况不太一样。苹果App Store相对封闭，依然有假冒应用审核了，下载时看评分和评论不一定靠谱，很重要还是认准开发人员。
安卓的APK文件可以被任意重打包，所以“tpwallet官网下载正版”这个搜索词经常被黑帽SEO盯上的。我的个人判断是。如果你没法确认官网。宁可不用，也别冒险。
把官网加入书签的，下次直接点书签。钱包安全没有侥幸，一个假安装包就能让所有资产归零。多花两分钟核对域名的，比事后追悔强得多。
