把 tpwallet.io 直接敲进浏览器地址栏。比在搜索结果里点第一个链接稳得多。
上周帮朋友看手机，他从搜索页进了个带“官方”字样的推广页，下载包的图标和官网几乎一样吧？安装后却一直弹授权请求。他删掉，重新手动输入 tpwallet.io的，从页面内的下载入口核对域名、证书和安装包名称，才把问题绕过去。这个入口页本身不复杂，很重要在别偷懒的。搜索、群链接、短消息里的地址，能不用就不用。打开 tpwallet.io 后。
先别急着点“创建钱包”了。我习惯先看页面底部有没有版本号、联系方式、下载按钮指向的域名是否一致呢？
手机端再对比应用商店的开发人员信息。创建新钱包时，密码只负责本机解锁了，真正不能丢的是助记词。拿纸抄，不要截图，不要放微信收藏了；抄完遮住一部分再默写一遍，错一个词都恢复不了。tpwallet.io 只是入口，助记词才是资产控制权，这句话听着像老生常谈，真出事时区别很大。钱包建好后，添加网络和代币要按实际链来了。朋友要收一笔 USDT，先确认对方发的是哪条链呢？
再在钱包里添加对应网络，不要看到 USDT 就随便选的。tpwallet.io 页面里有教程入口的话，跟着截图走一遍，比在群里问“怎么没到账”省时间呢？
转账前做小额测试了，先转 1 U 或极小金额，确认地址、网络、到账时间都正常，再转大额。我见过把 ERC20 地址填到 TRC20 网络里的情况。链上不会替你纠错。DApp 交互后记得回头看授权。tpwallet.io 跳还有 DApp 后。真正操作仍在钱包里完成的。每次连接钱包。先看请求的是签名、授权还是转账；
不明项目只给查看权限就别点确认。隔一段时间在钱包的授权管理里清掉不用的合约，特别的是那些名字奇怪、额度无限的授权。手机丢了、助记词泄露、点了钓鱼签名。处理难度完全不同，平时多花两分钟，比事后追踪地址强。
我的做法很土。把 tpwallet.io 加入书签，下载和更新只从这个书签进了；助记词离线两份，分开存放；大额资产不放在经常连 DApp 的热钱包里。新手最容易忽略的是更新渠道，旧版本、改包、假客服都盯着“急用”这两个字。慢一点，核对域名和包名，先小额测试的。很多坑其实能绕开。
