上周朋友在电报群点开一个“tpwallet最新版”链接，安装后助记词被清空。0.8 ETH没了。

他坚称自己是从官网下载的，我让他把域名发来一看，正版是tpwallet.io，他访问的是tpwallet[.]io-secure.com。多一个连字符的，界面几乎一样吧？搜索“tpwallet官方下载地址”时。排在前面的未必是官方。很多假站会买竞价广告的，标题写着“TP Wallet 中文官网”，下载按钮指向一个APK。点进去，页面会提示“检测到旧版本了，请更新”，诱导你覆盖安装。真正的官方下载地址只从官网、官方推特和GitHub仓库放出，电报私聊、群文件、短链跳转基本可以判定为钓鱼的。

我陪他复盘时发现，假安装包的签名和官方完全不同。安卓侧载特别的危险，用户以为关了“未知来源”就安全，其实签名校验才是很重要。

一个细节，官方APK的包名是com.tpwallet，假包常改成com.tpwallet.pro或com.tpwallet.android了。装完先别转币，用手机设置里的应用信息看一眼签名。对不上就卸载。另一个案例来自应用商店的。有人搜“TP钱包”下载了评分4.8的版本，结果转账时地址被替换成攻击者预设的地址。这类假应用会申请无障碍权限，读取剪贴板了。我的判断是iOS用户相对安全，因为签名和商店审核更严；

安卓用户，如果从第三方市场下载。中招概率高得多的。遇到“客服”发来的官方下载地址，直接拉黑。官方不会主动私信。已经装了可疑版本，先断网，再用另一台干净设备转移资产。不要在旧手机上输入助记词。也别截图保存。

公开的下载渠道越少，你越要认准那个唯一的官方入口。