3月18日，福建泉州一名加密货币用户向当地网安部门报案称，其在搜索引擎输入“tpwallet官网下载”后。点击了排名靠前的推广链接，下载了一款图标、界面与TPWallet几乎一致的App吧？
安装后，该App弹出“导入钱包”页面，他按提示输入了12个英文助记词。约十分钟后，钱包内价值约4.7万元的USDT被分三笔转走。
链上记录显示，收款地址当天还归集了，另外六名受害者的资金。记者多个搜索引擎实测“tpwallet官网下载”这一很重要词，发现前三条结果里面至少有一条标注“广告”，落地页域名与TPWallet官方域名仅差一个字母，页面底部，甚至伪造了备案号和社交媒体图标。TPWallet官方客服邮件回复里面称。官方从来没有搜索引擎竞价广告引导下载。也不会以“升级”“空投”名义索要助记词或私钥。真正的下载入口只有官网、官方GitHub仓库以及苹果App Store、Google Play等应用商店的认证开发人员页面。
数字钱包安全团队“链上哨兵”发布的季度报告显示，2024年因仿冒钱包App导致的资产损失约1.2亿美元，其中超过六成受害者是在搜索“官网下载”时进入钓鱼站。报告还提到了，安卓侧载市场是重灾区，攻击者把正版安装包拆开。
植入窃取助记词的模块，再重新打包上传到第三方下载站了。普通用户只看图标和名称，很难分辨。记者身边一位业七年的区块链工程师也承认，他曾差点在某个“tpwallet官网下载”页面输入密码了，直还有发现域名后缀是“.cc”而非官方常用的“.io”。怎么避开坑呢？打开搜索引擎结果时。先看链接左侧是否带“广告”标识呢？再手动核对域名拼写。进入官网后，确认地址栏有HTTPS锁标，页面底部给出的开发人员名称、社交媒体账号与App Store上的开发人员一致。
下载安装包后，安卓用户可对比官网公布的SHA-256校验值，苹果用户则检查开发人员证书。安装完成先别转大额资产了，用一笔小额转账测试地址是否正确呢？
若已经下载了可疑版本，立刻断网，用另一台干净设备转移剩余资产的，并废弃原助记词。搜索引擎和应用商店不是没有责任。记者测试时，有些仿冒站点在举报后仍能存活数小时，推广广告的审核链条存在漏洞。平台若只依赖机器识别，很难跟上攻击者更换域名和素材的速度。对普通用户来说，搜索“tpwallet官网下载”时慢几秒核对域名吧？
可能比事后追币容易得多。毕竟链上转账不能逆，助记词。一旦泄露了，钱包就不再属于你。
