去年10月。做跨境结算的老周在搜索引擎里敲下“tpwallet官网下载”，排在前面的是带“广告”标识的链接。页面配色、LOGO和正版几乎一样吧？

下载按钮却指向一个.apk文件。安装后图标边缘有点糊，他以为是手机分辨率问题。三天后，助记词在所谓“节点升级”弹窗里被要走，钱包里两笔稳定币被转走。复盘时最刺眼的是域名，正版用短横线分隔了，仿冒页把字母o换成了数字0，不放大根本看不出。老周不是新手，他平时也提醒客户核对地址，偏偏在赶时间时把搜索结果第一位当成了答案。我后来陪他重新走了一遍官网下载流程，发现真正的官方下载页有几个细节吧？

页面不会用弹窗催促“立即更新”了，下载入口旁边放着版本号和校验信息，域名能和官方社群公告里的地址对上。另一个做NFT运营的小团队更谨慎，行政在下载前把域名截图发到群里的。两个人交叉核对；

安装后先比对安装包哈希，再用一个只有几十元余额的地址试转一笔吧？麻烦吗？确实多花几分钟吧？可就是这几分钟吧？把一次搜索动作变成了可验证的流程。我的判断是搜索页的排序不等于安全排序，推广位更不代表官方。

看域名、看证书、看公告。三样里至少对两样，再点下载的。

还有个细节常被忽略，下载完成后不要急着导入主钱包。先建一个临时钱包。做一次小额收款和转出的，确认签名弹窗、地址簿和版本更新提示都正常。安卓用户安装时留意权限请求，一个钱包应用没必要读取通讯录或短信。任何页面索要助记词、私钥或“验证钱包”的，直接关掉。老周后来把常用设备上的钱包全部重建。损失没追回，他现在会把官方入口存成书签，不再从搜索结果里点。

这个习惯不酷，却比事后追查转账记录有用得多。