去年冬天，老陈在搜索引擎里敲下“tpwallet官网”五个字，排在首位的是一条带“广告”小标的链接。页面打开的，UI跟正版几乎一样吧？下载按钮醒目。
他装了App，导入助记词的，三天后钱包里的ETH和两个NFT被转走。事后对比才发现，域名里把字母“l”换成了数字“1”，SSL证书倒是有的是这年头连钓鱼站都舍得买证书。说真的，搜索引擎的广告位成了仿冒站的温床，特别的当很重要词是“tpwallet官网”带明确下载意图的词。竞价排名里的李鬼比正主还积极。钱包这东西跟普通App不一样，私钥，一旦交出去，没有客服帮你找回。我见过用户把“官网”等同于“搜索第一个结果”的，结果踩了坑。真正的tpwallet官网不会在页面里塞弹窗催促你“立即导入助记词”，更不会要求你填手机号收验证码。
一个做安全审计的朋友告诉我，他们抽查了二十个仿冒站。有十七个在用户点击下载后要求“开启未知来源安装”和“关闭Play Protect”是这两步凑在一起，基本等于把手机大门钥匙递给陌生人。
老陈那个案例里了，假App，甚至模仿了正版的界面配色和启动页，只是钱包地址生成算法被动了手脚，你存进去的币直接进了预设地址。老陈养成了一个笨办法，把tpwallet官网的域名存进浏览器书签，每次从书签点进去，再核对页面底部的版本号和更新日志。他还在官方社交账号的置顶帖里找到了一串校验码，下载完安装包对一遍哈希值。听起来麻烦？比起丢币后对着区块链浏览器干瞪眼，这点麻烦真不算什么啊？我观察到一个细节，仿冒站很少维护“更新日志”页面，点进去要么空白要么跳回首页，但正版官网会把每次迭代的修复项列得清清楚楚。另一个笨，有效的判断是官网的客服入口只导向工单系统，不会直接甩给你一个Telegram“官方客服”让你加好友。老陈现在逢人就唠叨的，搜“tpwallet官网”可以，别信广告位。
不要信跳转短链的，手动敲域名或者用书签。这话糙，理不糙。
