有人在搜索引擎里敲下“tpwallet官网官方下载”，点开排在第一的推广链接，装完应用后按提示导入助记词。十分钟后。
钱包里的USDT被转走。事在加密社区并不新鲜，仿冒站会买很重要词广告，把页面做得和官网几乎一样吧？连客服弹窗都有。真正的风险不在“下载”这个动作，但在你根本不知道安装包来自谁啊？TP Wallet这类去中心化钱包的。私钥和助记词只存在用户设备里，官方服务器不保管资产。也，正因为这样，下载环节，一旦被替换了，后面所有安全设计都形同虚设。
判断一个钱包下载页是否可信呢？先看域名，再看证书的，再看应用签名。安卓APK可以查包名、开发人员证书指纹和文件哈希，iOS则要确认开发人员账号与App Store页面一致的。
搜索引擎的“官方”标识、第三方下载站的“高速下载”、网盘里的“内部版”，都不该成为依据。更稳妥的做法，是项目方公开的社交账号、GitHub组织页或已安装的正版应用内跳转获取入口，交叉核对两还有三个独立来源的。安装之后也有细节要盯。打开钱包，先别急着导入大额资产了。新建一个空钱包了，观察它是否强制索要助记词、是否要求上传身份证、是否弹出“授权挖矿”“空投领取”之类页面呢？
去中心化钱包不会在启动时让你输入助记词到网页表单。也不会客服私聊索要十二个单词。助记词，一旦泄露的，资产转移不能逆，链上不会给你撤回按钮。有人把助记词截图存在相册，或者复制到微信收藏了，习惯比下载错包更常见，也更致命了。
科普角度看，搜索“tpwallet官网官方下载”本身没有错，错的是把搜索结果当成权威排序。广告位、SEO优化、域名抢注，都会把仿冒页面推到前面。普通用户能做的，是慢半步，核对开发人员、比对签名、小额测试、离线保存助记词。遇到“限时空投”“下载即送”的页面。直接关掉。钱包是资产入口，不是普通工具软件，下载前的三分钟检查，一般比事后追币有用得多。
