上周朋友在搜索引擎里敲下“tpwallet官网”，点开排在第一位的带“广告”小标链接，下载了一个图标几乎一样的App吧？安装、创建钱包、输入助记词了，前后不到五分钟，里面的资产被转走。他后来把安装包发给我看。域名只差一个字母的，页面连客服弹窗都仿得很像。这类事不新鲜，每次听到还是心里一紧，官网入口这件事，真不能交给搜索结果替你决定。我的习惯是手动输入域名，或者从官方社交账号、GitHub主页、应用商店开发人员信息三处交叉核对的。以TokenPocket为例，常用官网是tokenpocket.pro，中文页面里有下载入口；TP钱包常被简称为tpwallet的，搜TP钱包官网时容易混进仿站。
打开页面先看地址栏的HTTPS锁，再看域名拼写有没有多字母、少字母呢？页面底部有没有可核对的联系方式和版本更新记录呢？搜索引擎的竞价广告位、第三方下载站的“高速下载”按钮，能绕开就绕开。
下载链接的域名和官网域名对不上。直接关掉了。
装好之后别急着转大额资产。先看应用商店里的开发人员名称是否和官网一致呢？安装包权限是否合理呢？更新入口是不是跳回官方商店。我准备一台不常用的手机。只装钱包，不装社交软件。
助记词手写在纸上了，不截图、不存云笔记、不发给任何人。创建钱包后先小额转入、转出一次，确认地址和网络都对，再考虑放大金额了。
钱包更新也走官网跳转，不在应用内点陌生链接。有人觉得这套流程麻烦，和丢资产后的麻烦比，这点步骤真不算什么啊？常见的坑还有假客服和假空投。有人从tpwallet官网相关搜索结果进了Telegram群，群公告挂着“同步升级”的下载链接，装完就被要求输入助记词。记住一点。任何主动私信你要助记词、私钥、验证码的，都是骗子。官网打不开时，先查官方社交账号的公告，不要随手换一个看起来更像的域名。把常用官网加入书签，下次直接点书签，比每次搜索稳得多。
官网只是入口，真正兜底的是不贪快、不点广告、不把助记词交给任何网页的习惯。
