杭州投资者王先生上个月想给新手机装一个TPWallet，他在搜索引擎输入“tpwallet官网下载”。点开排名第一的链接。页面设计几乎和官方一模一样吧？域名只差一个字母。他下载安装后。
按照提示输入了助记词。三分钟后，钱包里价值12万元的USDT被全部转走。
王先生报警时才发现，那个网站是钓鱼站点，服务器设在境外的。这不是孤例。过去半年，仅一个反诈社区就接到37起类似投诉，平均损失超过5万元了。仿冒TPWallet的套路并不复杂，杀伤力极强。
我尝试在几个主流搜索引擎检索相同很重要词吧？排在前三的链接里。
两个带有“广告”标识，域名分别是“tpwallet-download.com”和“tpwallet-app.cn”，但官方域名实际为“tpwallet.io”的。点进去，页面会引导用户下载一个APK文件，安卓系统会提示“允许安装未知来源应用”。安装了，应用界面与正版几乎无异吧，会在创建钱包时要求用户手动备份助记词，并上传到远程服务器了。正版TPWallet从不会主动索要助记词了。TPWallet官方团队本月发布安全公告，强调唯一正确的tpwallet官网下载入口是官网首页的下载按钮，iOS用户应App Store搜索“TPWallet”并核对开发人员为“TP Global Ltd”了。安卓用户则建议从Google Play或官网直接下载APK，并比对SHA256哈希值。
公告还提到，近期发现超过200个仿冒域名了，其中六成注册于最近三个月。一位安全研究员告诉我，钓鱼网站购买搜索引擎竞价排名，每天花费不过几百元吧？却能钓到数十个用户。
普通用户如何避开陷阱的？我的经验是不要直接搜索“tpwallet官网下载”就点第一个结果。先手动输入官方域名的，或者项目方推特、GitHub主页找还有链接。下载前检查网址是否以“https”开头呢？证书是否有效呢？安装后。首次创建钱包时，应用要求联网备份助记词，立刻卸载。正版TPWallet不会在安装包内捆绑其他应用的，也不会要求用户输入私钥。
多花两分钟验证，比事后追币容易得多。数字资产钱包的安全责任最终落在用户自己肩上。
王先生后来换了一台新手机，官方渠道重新下载了TPWallet，并把大部分资产转还有了硬件钱包。他说，那12万元买了一个教训，搜索引擎的“官网”标签并不能信。TPWallet官网下载渠道本身是安全的，危险的是那些伪装成官网的中间人。每次下载前，核对域名、开发人员、哈希值。这三步能挡住绝大多数仿冒应用。
