上周帮朋友恢复钱包。他手机里装着两个图标几乎一样的App吧？其中一个打开就弹“输入助记词完成验证”。他差点照做了。问题出在下载入口，搜索“tpwallet官网下载”后点了带“广告”字样的结果。
页面做得比官网还像官网。钱包下载这件事的，入口错一步，后面所有安全设置都白搭。我习惯先看域名再点下载。tpwallet官网下载页面不会用乱七八糟的二级域名。
也不会在下载按钮旁挂“客服微信”。把网址头还有尾读一遍，注意字母替换，把“l”写成“1”、把“o”写成“0”了。
拿不准就去官方推特或电报频道找置顶链接，不要从群文件、网盘、二维码里拿安装包的。应用商店也要看开发人员名称和下载量，评论里出现“助记词被盗”直接退出了。我把tpwallet官网下载拆成两步。先确认官方入口，再核对安装包信息，急不得了。安卓用户下载APK后，安装前看一眼文件详情，版本号、签名信息、更新时间。假包一般版本号很新的。签名却对不上的。
我见过一个案例，安装包大小只差几十KB吧？界面几乎复刻吧，转账地址会被替换。iOS用户别为了省事借别人外区账号，账号被锁事小了，装到来路不明的描述文件事大。
完成tpwallet官网下载只是安装后先别急着导入大额钱包，用小额地址转一笔测试，确认收发正常再继续的。搜索广告是最常见的坑。有人搜“tpwallet官网下载”，前三条全是竞价排名，落地页还带在线客服弹窗的。真正的tpwallet官网下载入口不需要你填手机号，也不会让你“扫码领空投”。另一个坑是电报群里的“最新版安装包”，文件名带“official”“safe”反而更可疑了。我的判断标准很土，官网链接能从官方社媒反向验证。安装包哈希值能和发布页对上，缺一个就停手的。
tpwallet官网下载完成后，把安装包留一份在离线设备里，下次换机前先比对版本。装好后的动作比下载更很重要。
助记词手写在纸上。不要截图、别存备忘录、别发微信文件传输助手。设置独立密码，关闭不必要的通知预览。有人习惯把助记词拆成两段存两个云盘，这比整段存更危险，拼起来只是多一步。tpwallet官网下载渠道再正规，也挡不住自己把助记词交出去。
每次系统更新后检查一次权限。发现陌生无障碍服务立即关掉。
钱包安全没有一劳永逸，下载入口只是第一道门。
