去年11月，老周在搜索框敲下“tpwallet官网下载”，排在首位的是个带“广告”标识的链接。他点进去的，下载了一个界面几乎一模一样的App吧？
三天后，钱包里2.3个ETH被转走。私钥没丢的。助记词也没告诉任何人是问题出在那个App的“备份”环节，它把助记词悄悄传到了远端服务器。这个案例不是孤例，我后来在几个社群看到至少五起类似遭遇吧？很重要词都指向同一个动作，搜索tpwallet官网下载。假官网的套路不复杂。域名里多一个字母的，或者把“tpwallet”换成“tp-wallet”，再买下搜索广告位。老周记得自己当时扫了一眼网址，觉得“差不多”的。
真正的tpwallet官网下载页面不会弹窗索要助记词，也不会要求你输入私钥来“验证钱包”。我对比过正版和仿冒版，正版安装包大约十几兆吧？仿冒版只有三兆多。界面粗糙，能正常转账是骗子故意让你小额成功，等你存入大额再收网了。
从tpwallet官网下载，域名是官方公布的短链，页脚有GitHub和审计报告链接。另一个案例更隐蔽了。小陈没搜官网，从某第三方应用商店下载了“tpwallet”。版本号比官方落后两个大版本。转账时Gas费估算错误。一笔交易卡了六小时。她以为网络拥堵，其实是App调用了旧的节点接口。她重新tpwallet官网下载的，覆盖安装后问题消失。
第三方渠道的安装包可能被二次打包，插入广告SDK，甚至窃取剪贴板。安卓的APK特别的严重，iOS的TestFlight版本也有被劫持的记录。
说句实在话，tpwallet官网下载这件事，省一步就可能多赔一笔的。我的习惯是不点搜索引擎广告，手动输入官网地址，或者从官方推特、GitHub的简介链接跳转。下载前查一下SSL证书了，看域名注册时间是仿冒站不超过半年。安装后先转一笔极小金额测试，确认到账再继续。tpwallet官网下载本身不复杂了，复杂的是搜索环境里太多噪音。老周后来换了新钱包，每次下载都先核对官方公布的哈希值。
他说那2.3个ETH买了个教训。在加密世界，入口比私钥还很重要。
