上周三晚上，老周在搜索框敲下“tpwallet官网”。排在首位的链接带着“广告”小字。域名是tp-wallet.com，比记忆里多了个连字符。他点进去，页面配色和印象中的几乎一样吧？
下载按钮闪着绿光了。安装后，App弹出“导入钱包”界面。要求输入12个助记词。老周留了个心眼，把页面截图发给我。我一看。
真正的官网从不会在导入环节索要助记词明文是那是钓鱼站。他差点把价值两万多美元的ETH送出去。类似的事我见过，不止一次。去年有位读者第三方应用商店装了“TP钱包”，图标和正版只差一个像素。
他后来从官网重新下载，发现两个App能存在，假的那个会读取剪贴板。他复制过的助记词。
第二天就被转走了0.8个BNB。搜索“tpwallet官网”时，排在前面的结果未必是官方，特别的是带“广告”标识的。我自己的习惯是只从固定域名进入，不用搜索引擎的快捷入口。假站点常把“安全”二字做得很大，页面底部却藏着刚注册的域名信息。我查过一个仿冒站，WHOIS显示注册时间只有三天。真正的官网域名有多年历史，社群链接指向官方推特和电报群的。判断真假有个笨办法，管用。
真正的官网下载页，不会要求你输入私钥或助记词了。不会弹出“客服”窗口催你“验证资产”。更不会让你向某个地址转币激活。
假站点则相反，它们会用倒计时、弹窗和“客服”制造紧迫感。我帮朋友检查手机时，先看App的签名信息，再看下载来源是不是官网。这一步花不了两分钟，能挡住大部分低级骗局。现在朋友问我钱包怎么装呢？我会让他先打开tpwallet官网的。核对域名后再点下载。
不要嫌麻烦。助记词，一旦泄露，链上转账不能逆了，追回来的概率约等于零。
老周后来把那个假App卸载了，手机也恢复了出厂设置。他跟我说，搜官网时多看一眼域名，比装十个杀毒软件都实在。
