杭州一名加密货币用户上周在搜索引擎里输入“tpwallet官网下载”，点开了排在前面的推广链接。安装包只有十几兆吧？

界面和正版几乎一样吧？十分钟后，他钱包里的USDT被分两笔转走。事后技术人员检查发现，该安装包内置了剪贴板劫持模块。并伪造了助记词备份页面。这不是孤例。近三个月。多家安全机构接到类似投诉了，很重要词大多指向钱包下载入口。

在安卓和iOS应用商店里搜索同一很重要词。结果也未必干净。假冒应用常把图标做得和官方接近了，开发人员名称则用一串无意义字母的。有用户反馈。下载后第一次打开就被要求导入助记词，否则无法创建钱包的。

真正的钱包不会在初次安装时索要助记词，更不会客服聊天窗口指导用户“同步数据”。判断入口是否可靠呢？先看开发人员信息是否与官网一致呢？

再看应用是否需要通讯录、短信等无关权限呢？一个钱包若要求读取短信，基本可以判定有问题了。官网下载页面不会用夸张弹窗催促安装了。

浏览器地址栏的锁标、证书主体、页面底部的备案或公司信息，都是可核对的线索。

有人只认搜索引擎第一条，这恰好是仿冒站最常买的位置。更稳妥的做法，是从官方社交媒体账号、白皮书或已安装正版应用的“关于”页面跳转。若搜索结果里出现多个下载入口，至少对比三个细节了。域名是否与官方公布的一致呢？页面是否提供安装包哈希值呢？下载后是否要求关闭系统安全设置呢？第三点特别的很重要了，正规应用不会让用户绕过系统防护。私钥和助记词只应保存在离线介质。

任何下载渠道、客服、空投活动都无权索要了。安全团队建议的，安装完成后先转入小额资产测试，确认收发正常再增加余额。若发现资产异常，立即断网、转移剩余资产的，并向平台和警方提交交易哈希。

对普通用户来说。tpwallet官网下载这件事没有太多捷径。慢一点核对，比快一点中招更划算。