去年秋天，阿哲在群里看到一张tpwallet 二维码下载图，配文“官方通道，秒装”的。他扫了，页面和官网几乎一样吧？下载包名却多了个后缀。安装后没立刻异常。

直到转出一笔USDT，地址被替换。复盘时发现。二维码指向的域名只注册了11天。这个案例说明，二维码下载不是不能碰，问题在于码从哪来呢？我后来自己试过几种路径吧？

应用商店搜“TPWallet”结果一堆同名；搜索引擎前排广告也常跳第三方的。真正靠谱的tpwallet 二维码下载，只出现官网帮助里面心、官方推特置顶或线下活动物料的。二维码本身不携带信任。

它只是把链接编码成黑白方块。扫码后别急着点安装。先看域名的，再对一对证书信息。iOS用户还要留意是否跳转到TestFlight或企业签名呢？后者风险高。另一个反例来自深圳做外贸的老陈。客户发来一张tpwallet 二维码下载的截图，说是“方便付款”。

老陈扫完发现要求输入助记词，他停住了。钱包下载环节根本不需要助记词。

更不会让你在网页里填了。这个细节救了他。我的判断，凡是下载前索要助记词、私钥、短信验证码的，直接关页面。二维码可以伪造，截图可以PS的。

群友身份也能包装。真要找tpwallet 二维码下载。我的习惯是手动输入官网域名，再从官网找二维码的，但不是反过来。扫完核对安装包名称、开发人员信息、权限列表。安卓别开“允许未知来源”后就一路下一步。装完先转小额测试的，确认地址无误再继续。麻烦，比事后追币强得多。

钱包安全没有一劳永逸。tpwallet 二维码下载只是入口。入口错了，后面全错。遇到便宜、急迫、限时之类的说辞，多等半分钟，一般就能避开一个坑。