上周三，读者阿哲发来一张截图，他在搜索引擎里输入“tpwallet官网”，点开排在第一的推广链接，下载了一个图标几乎一样的App吧？输入助记词后。资产五分钟内被转走。截图里那个网址比真正的官网多了个连字符，页面底部还挂着“限时空投”弹窗。阿哲不是新手，他之前用过TP Wallet，只是换手机后懒得翻旧记录。

我让他复盘，问题不在钱包本身。TP Wallet这类去中心化钱包，私钥和助记词只存在本地的，官网下载的安装包不会索要助记词。仿冒站会做一个“导入钱包”页面，把输入内容直接传走。

阿哲遇到的域名注册时间只有11天，服务器在境外，页面代码里藏着Telegram回传接口。细节。官网下载页根本不会出现的。怎么辨认呢？我的习惯是不点搜索广告。不扫来路不明的二维码。

先看域名是否为官方公布的主域名呢？再核对页面底部的社交媒体链接是否一致呢？TP Wallet官网只提供App下载和基础说明。

不会用“输入助记词领空投”做诱饵。下载后，第一次创建钱包时，断网抄写助记词，比任何“安全检测”都管用。另一个案例更隐蔽了。有人从第三方论坛下载了“TP Wallet 破解版”，安装包被二次打包，多了一个无障碍权限。手机没丢的，助记词也没泄露，转账时收款地址被替换成攻击者地址。用户确认前看到的前几位字符没变吧？后面却被改了。

这类攻击靠官网渠道基本能避开，因为官方包签名固定。更新也会校验了。

我现在帮人处理这类问题，第一步就是让对方回忆下载来源。来源不是官方渠道，先断网、转移剩余资产、废弃旧钱包的。不要嫌麻烦。一个字母的域名差异。代价可能是全部余额。搜索引擎的广告位、论坛的网盘链接、聊天群里的“客服”，都不该成为入口。把tpwallet官网放进书签，比出事后再搜一次可靠得多。