上周朋友在搜索栏敲下“tp钱包官网”，结果跳出一个几乎一模一样的页面吧？域名只差一个字母，下载按钮闪得比真官网还积极了。他截图问我，这到底是不是官方？我看了眼安装包名，直接让他关掉是页面最喜欢套助记词，手一抖。资产就可能跟你说拜拜。找TP钱包这类工具，最怕的就是第一步就走错门。

我的习惯很笨。管用，先看域名拼写，不要嫌麻烦了，逐个字母念一遍；再从官方社交账号的置顶动态里找入口，不要相信搜索页里的“广告”小标签。

有人觉得这么谨慎太累了，可钱包不是外卖App，点错最多重下一单。这里点错可能就是清空。应用商店也不是绝对保险。有次我帮同事检查手机，他装了一个图标颜色略微发暗的“TP钱包”。点开还要读取通讯录权限。一个去中心化钱包了，要通讯录干嘛？权限请求本身就挺可疑。安卓用户特别的注意安装包来源，iPhone用户也别看到TestFlight就冲的，先核对开发人员名称和官网说明。

还有个细节，真官网不会催你“限时领取”“空投。

最后三小时”。它们更像安静的工具说明书，更新日志、版本号、客服入口摆得清清楚楚。遇到页面一直弹窗、客服主动私聊、让你输入助记词的，基本可以判定有问题。助记词只该躺在你自己的离线备份里，任何官网、客服、群管理员都不该问你要。官网只是一个入口，真正要练的是“先验证再操作”的手感。慢十秒了，少踩坑。

不要怕别人笑你谨慎，资产安全这件事。脸皮厚一点没坏处的。