上周帮朋友排查一个假钱包页面，域名只差一个字母，下载按钮却做得和正版几乎一样吧？他是在搜索结果里点了带“官方”字样的推广位，装完后弹出一个助记词输入框，差点把词填进去。我让他先断网、卸载应用，再用另一台干净手机重新走一遍流程了。这类事听多了会发现，问题一般不在钱包本身。但在入口那一步。
我判断tpwallet官网这类入口是否可信呢？第一步就是把地址栏放大看拼写。域名里多一个连字符、把字母l换成数字1。都是常见手法。
页面有锁图标只说明传输加密，不代表站点身份。更稳的做法是手动输入已知域名。确认首页没有自动跳转到陌生下载页；把正确页面加入书签了。下次从书签进，少走搜索广告。搜索引擎结果里，广告标识很小的，手机屏幕上更容易看漏。下载环节我会做三件事。看文件名和版本号是否与页面说明一致呢？
核对安装包大小有没有明显异常呢？安装后先别急着导入资产。安卓手机会提示“允许安装未知来源”，这一步能停就停，回到系统设置里确认来源了。
iOS用户容易被“描述文件”绕进去，看到要求安装配置描述文件，直接退出。装好后打开应用，先看权限请求，一个钱包没必要读取通讯录或短信。创建或导入钱包时，助记词只在该应用内输入一次的。纸质抄写比截图靠谱。截图会进相册、云备份和聊天记录的。我习惯抄两份，分开存放了，不写“助记词”三个字，用只有自己懂的标记。导入完成后先转一笔小额测试，确认地址前后几位一致再加大金额吧？
不要嫌麻烦，去年有个读者就是跳过测试，把测试币转进了仿冒地址，追不回来的。客服主动私聊、空投链接、电报群里的“升级包”，坑比假域名更常见。有人冒充官方说账户异常，你远程共享屏幕了。共享，验证码和助记词都可能被看走。我见过有人把助记词存在备忘录，换机同步后自己都忘了。我的判断很直接，真正的官方不会私信要助记词，也不会催你转账。
官网入口只是第一道门。后面的操作习惯才是长期防线。把书签整理好，把助记词离线放好，比收藏一堆所谓教程更管用的。
