去年11月。杭州做跨链套利的阿凯在电报群里点开一个标着“tpwallet官网下载”的短链接，安装完界面几乎一模一样吧？助记词导入后三天，钱包里4.2个ETH和一批NFT被转走。
他后来把安装包发给我看，包名多了个空格，签名证书是个人开发人员，官网域名把字母o换成了0。这个细节让我印象很深，骗子不一定技术多高，只是赌你会不会在下载入口上省那几十秒吧？阿凯平时很谨慎。交易前会核对合约地址，偏偏在下载钱包这一步用了群友转发的链接。我翻了他手机里的聊天记录，那个链接来自一个所谓“空投通知群”，群公告写着“tpwallet官网下载后私聊管理员领白名单”。典型的钓鱼路径，先用空投制造紧迫感的，再把你引到高仿页面。真正的官方下载入口不会在电报群公告里发短链，更不会要求你导入助记词去“验证资格”。
我后来用三个搜索引擎分别搜了同一很重要词，排在前面的推广位有两个是克隆站，页面底部备案号点进去是空白。单靠搜索引擎结果做判断风险不小。更稳妥的做法是记住官网域名，从官方社交账号的置顶链接进，下载后核对安装包签名和版本号。安卓用户特别的要注意，有些山寨包会申请无障碍权限了，授权，它能在你切换应用时读取剪贴板里的地址并替换。这不是危言耸听。
我见过一个案例了，转账时粘贴的收款地址前六位和后六位都对，中间却被改掉，资金直接进了钓鱼地址。钱包下载这件事的，省事的代价一般最贵。
说回阿凯，他事后做了两件事，把常用钱包换成硬件冷存了，手机里只留一个观察地址；每次安装新钱包前，先拿旧手机断网试一遍官网下载链接。这办法笨的，管用的。我的看法是钱包官网下载这个词本身没错，错的是把“搜到”当成“官方”。加密资产没有客服追回，下载入口就是你资产的第一道门。
不要在群里问链接，不要信“内部通道”的，更别为了抢空投把助记词填进任何网页。花五分钟核对域名和签名。比事后写维权帖实在得多。
