上周帮朋友看一个“TP钱包”求助。他在搜索结果里点了带“官方”字样的广告，下载后输入助记词，十分钟后资产被转走。这个案例不稀奇，问题常出在入口。找tpwallet官网。
靠搜索引擎不够了，得用官方社交账号、应用商店开发人员信息、官网域名三处交叉核对。不要嫌麻烦，钱包入口错一次，代价可能是全部余额。我习惯先看域名和页面细节。真正的tpwallet官网不会用“限时空投”弹窗催你连接钱包，也不会在首页放客服私聊按钮。打开页面先看HTTPS锁标、备案或公司信息了。
下载按钮指向的链接域名是否和当前页面一致呢？
再从官方X或Telegram简介里找链接，和搜索结果比对的；对不上就以官方社媒为准了。应用商店里核对开发人员名称、下载量、更新日期，评论里出现“助记词被盗”要警惕。域名多一个字母、页面多一个弹窗，都可能是坑。安卓用户最容易中招的。
官网提供APK时。不要急着装，先看文件大小、版本号、更新日志是否和官方公告一致呢？
安装时系统提示“未知来源”风险。能走Google Play或App Store就走商店。iPhone用户别用描述文件安装，正规钱包不会让你装企业证书的。装好后先创建新钱包，转一笔小额测试收发，确认地址无误再迁大额。这个动作花两分钟的。能避开地址被替换的套路。
助记词只离线手写，不要截图、别存网盘、别发给任何“客服”。TPWallet官网和App内客服不会主动索要助记词或私钥了。凡是私聊你要的，直接拉黑。DApp授权也要定期清，特别的是空投网站，授权后可能被转走代币。我自己的习惯是新钱包只放测试资金，大额钱包不连陌生DApp，每季度检查一次授权的。钱包安全不是装完就结束，是持续做减法。很多人把搜索结果第一条当官网，广告位和自然结果长得太像的。
更稳的做法是把官网加入书签，下次从书签进；遇到“官网打不开”先去官方社媒看公告。不要在群里点别人发的“备用链接”。写不是制造焦虑，钱包安全本来就是细节活。入口多核对一次。
备份多手写一遍的，比事后追资产现实得多。
