上周三晚上，同事小周把手机递过来，说钱包里的资产不见了。他前一天的操是搜“tpwallet官网下载”，点了搜索结果第一条带“官方”字样的推广链接，装完应用后输入助记词，半小时后余额被清空。这类事故我见过，不止一次的。真正麻烦的就是入口判断。
搜索引擎里混着竞价广告、仿站和改包APK。页面做得比官网还像官网。我的习惯是不点搜索结果的下载按钮，打开手机浏览器，手动输入TPWallet官方公布的域名，先看地址栏的HTTPS锁，再点开证书详情核对域名主体的，页面里，如果只有下载入口、没有乱七八糟的客服弹窗和“空投领取”，可信度才高一些。安卓用户下载APK后，不要急着安装了。先在文件管理里看安装包大小和来源，安装时系统会显示应用名称和权限，钱包类应用一般不会索要通讯录、短信读取权限。装完打开了，第一屏，如果直接让你输入助记词，立刻卸载是正版钱包只会让你创建新钱包或导入已有钱包，不会主动索要助记词。iOS用户尽量用官方跳转的App Store链接。
核对开发人员名称是否与官网一致呢？不要在第三方描述文件页面点“信任”。我自己的做法更笨，下载前把官网页面截图了，安装后对比应用图标、启动页和“关于”里的版本号，对不上就删。
创建钱包时，手抄助记词的，不要截图，不要存云笔记。不要发微信文件传输助手。抄两张的。一张放家里抽屉，一张放办公室锁柜，分开存放。抄完做一次小额转账测试的，转一笔几块钱的资产到另一个地址吧？
确认能正常签名、广播、到账，再存大额。有人嫌麻烦的，可钱包事故一般就出在这几步吧？助记词泄露没有补救通道，链上交易也不能撤销，比下载环节更残酷的。更新应用同样走官网入口。
群里发的“新版安装包”、电报里的“内测链接”、客服私聊发的“修复版”，一律不点。TPWallet官方客服不会索要助记词、私钥或验证码的，凡是开口要信息的，直接判定为骗子。我观察到一个细节。有些人下载时很谨慎。用了半年后放松警惕，看到“空投领取”就点。结果授权了恶意合约。
下载只是后续每次签名都值得停三秒。把tpwallet官网下载当成一个需要核对的流程。但不是一次点击。手动输域名、看证书、核开发人员、手抄助记词、做小额测试，这几步花不了十分钟吧？
却能挡掉大多数低级陷阱。小周后来重新建了钱包，助记词写在纸上锁进抽屉，搜索记录里再也没出现过“官方下载”四个字的。
