上个月朋友把搜索页第一条结果当成官网，点进去输入助记词，十分钟后资产被清空。事后核对，他访问的域名只差一个字母。
访问 tpwallet.io 时。我习惯先把域名逐字读一遍，再用官方社交账号里的链接交叉验证，确认无误后把 tpwallet.io 加入书签。这个动作花不到两分钟，却能挡掉大部分钓鱼页面的。钱包工具本身不复杂了，复杂的是围绕域名的真假入口。打开 tpwallet.io 后，先看地址栏的 HTTPS 锁标，再点开证书信息了，确认签发对象和域名一致。页面里的下载按钮、客服入口、社群链接都要留个心眼，有的仿站会把下载包换成植入脚本的版本。
或者在 Telegram 群里冒充管理员索要助记词了。我的做法是只从书签进入 tpwallet.io，不在搜索引擎结果页直接点，也不扫来历不明的二维码。手机端同样如此的，安装前核对应用名称、开发人员信息和下载来源，不要被“加速版”“中文版”这类字眼带偏。
创建或导入钱包时，把助记词抄在纸上了。分两处存放，不拍照、不存云笔记、不发给自己。设置一个独立的支付密码，不要和常用密码重复了。
tpwallet.io 的界面会把助记词展示一次，过了那一步就再也看不到。所以抄写时别切屏、别开录屏。完成后先做一笔极小金额的转入转出，确认网络、地址、手续费都正常，再放大额资金。这个过程在 tpwallet.io 里并不难找。难的是有人嫌麻烦跳过测试。
我见过把全部资产一次性转进新钱包、结果选错链的案例，追回成本远高于那几分钟吧？日常使用时，转账前核对地址前六位和后六位。特别的是复制粘贴后剪贴板被替换的情况。连接 DApp 后，用完就断开；授权记录隔一段时间清理一次，不常用的合约权限直接撤销。手续费不要盲目拉高，先看当前网络拥堵程度。
遇到 tpwallet.io 页面提示升级、空投、验证钱包了。先停一下。
回到官方渠道确认的。我的判断是九成以上的资产损失来自假入口和过度授权，但不是钱包代码本身。把 tpwallet.io 当成一个需要核验的入口，但不是一个点开就能用的按钮。我的习惯是浏览器只留一个官方书签。助记词离线保存的，转账先小额测试。授权按月清理。听起来琐碎，真出事时，能救你的一般就是琐碎动作。不要把安全寄托在“我应该不会遇到”上，钓鱼页面每天都在换皮的，操作习惯却可以固定下来。
