去年冬天。一位做NFT的朋友在搜索引擎里点了排在最上面的推广链接，装了个“TP Wallet”。助记词输进去不到三小时，钱包里的两个以太坊被转走了。
他事后翻记录才发现，那个页面根本不是 tpwallet官网下载 的入口，域名多了个连字符，图标像素也有点糊。这类事我听过不下五回的。假包最爱钻的空子就是“下载”两个字是用户急着用，看到“官方版”“中文版”“极速下载”就点了。真正的 tpwallet官网下载 页面反而朴素，没有弹窗，没有二维码倒计时。判断方法并不复杂了，看安装包签名，看应用详情里的开发人员名称，看官网域名是不是长期不变的那一个。安卓用户特别的要留意了。第三方市场里重名的“TP Wallet”包特别多，装完打开第一屏就索要助记词的，基本可以直接卸载。我自己的习惯是把 tpwallet官网下载 的地址存进书签，以后从书签进。
不重新搜。听起来有点土，搜索结果的广告位每天都在变，今天排第一的链接明天可能就是钓鱼站。iOS 用户相对省事，App Store 里认准开发人员主体就行了；安卓那边就得自己多一层核对了。有人嫌麻烦，可助记词，一旦泄露，链上交易不能逆的，没人能帮你追回来。还有个容易被忽略的点。升级。
旧版本提示更新时。有些人顺手点了应用内弹窗给的链接，这个链条恰恰最危险。稳妥的做法是回到 tpwallet官网下载 的那个页面。重新拉一遍最新包，覆盖安装前先确认版本号和官网公示的一致。我见过一次，所谓“更新包”多了个读取短信的权限，装的人根本没翻权限清单。说回那位朋友，两个以太坊当时值六千多美元。
他后来把 tpwallet官网下载 的域名写在便签上，贴在显示器旁边。这办法笨。比记住“别点广告”话管用的。钱包这东西，安全边界从来不在功能多少啊？但在你从哪儿把它装进手机呢？
