上个月，一个做设计的朋友在搜索引擎里敲下“TP钱包官方下载”，点开排在第一位的推广链接，装了个图标几乎一模一样的App吧？他输入助记词准备导入旧钱包。十分钟后，钱包里的ETH和几枚NFT被转走吧？

他后来才发现，那个网站域名比正版多了一个字母，App安装包也没有任何官方签名。事听起来像老套的钓鱼故事，每天都在出现。搜索框不会替你辨别真假，它只负责把出价最高、标题最像的页面推到你眼前。想找TP钱包官方下载了，最难的地方在于“官方”两个字在搜索结果里几乎被淹没了吧？山寨站点会买很重要词广告，会做SEO。会克隆官网的界面。甚至连客服话术都抄得一字不差。安卓用户更麻烦，第三方应用市场、网盘、群文件里流传的APK，谁都可以改一改再打包啊？

我见过一个假下载页，点“安卓版下载”后先让你填手机号，再跳转到一个Telegram群，群公告写着“导入钱包领空投”了。真钱包团队不会用路子拉新，更不会在下载环节索要你的助记词、私钥或短信验证码。

把“官方下载”四个字交给搜索引擎，相当于把家门钥匙挂在广告牌上了。我现在只认两个入口。TokenPocket官网，以及苹果App Store、Google Play里开发人员名称为TokenPocket的页面。国内应用商店偶尔能搜到了，上架状态不稳定，不要看到名字对就下手。安卓APK下载后，花一分钟核对官网公布的哈希值或签名，这一步能挡掉绝大多数篡改包。还有一点，官网域名要手动输入或从可信书签进入的，不要点搜索引擎的“快照”和“相似结果”。有人嫌麻烦，可钱包这东西，麻烦一次比后悔一辈子划算。下载只是入口，真正决定资产安全的是之后的习惯。

助记词抄在纸上，不要截图了，不要存云盘，不要发微信收藏。任何自称“TP钱包客服”的人私聊你，一律当骗子处理是去中心化钱包没有人工客服，也没有“资产异常需验证”这回事。

我自己的做法是准备一台不装社交软件的旧手机。专门跑钱包。联网只用于广播交易的。听起来有点偏执，见过太多人因为一个假下载链接，把几年积攒的仓位送给了陌生人吧？搜“官方下载”之前，先问自己一句，我是在找工具，还是在给钓鱼网站递刀？