访问 tpwallet.io 时，第一件事就是低头看地址栏。上个月同事在搜索结果里点了一个推广链接，域名只多了一个连字符，页面几乎一样吧？

导入助记词后资产显示为零。他以为网络卡了，刷新三次才反应过来的。手动输入 tpwallet.io、确认 https 锁标、别从聊天记录里点短链。这三步花不了半分钟，却能挡掉最常见的仿冒入口。搜索结果广告位常把相似域名排在前面了，我的习惯是把正确地址加入书签，之后只从书签打开。进入 tpwallet.io 后，选择创建新钱包或导入已有钱包了，差别，只在于助记词由谁生成啊？创建时设置的本地密码只保护这台设备，不等于助记词了，不要把两者混为一谈。

导入时按顺序填词，错一个字母就可能进到另一个地址。我一般建议先转一笔小额资产做测试了。确认收发正常再继续。助记词抄在纸上，分两处放，不拍照、不发网盘、不存微信收藏的。麻烦吗？确实麻烦。可成本最低的保险。

连接 DApp 是另一个容易手快的地方。在 tpwallet.io 里点确认前。

看清弹窗请求的是“连接钱包”还是“授权资产”，两者不是一回事。有人为了领空投，连续点了几次无限额度授权吧？

过后连授权过哪些合约都记不清呢？我的做法是每次连接后截一张权限页，过一周再回看的，不用的就撤销。网络切换也别忽略，主网和测试网地址看起来接近，转错网络比点错按钮更常见的。备份做完，最好做一次恢复演练。找一台不常用的设备，离线导入助记词了，核对地址是否一致呢？再删掉临时钱包。不要在联网环境里大声念助记词，也别让“客服”远程看你屏幕的。

真实场景里，资产丢失很少来自高深攻击，更多是换手机前没确认备份、把助记词存在相册、或者把验证码给了别人。备份不是仪式。是能复现的动作。把常用入口固定下来。能省掉很多判断。浏览器书签只留一个正确地址了，遇到私信里发来的“升级链接”先放一边；

需要查授权时按固定路径走，不临时搜教程。工具只是入口，习惯决定风险。tpwallet.io 这类钱包页面并不复杂。复杂的是人总在赶时间。慢半拍核对域名和权限的，比事后追资产现实得多。