上个月，一位新加坡用户搜索“tpwallet官网下载国际版”，点开了排在第二位的推广链接。安装后，应用弹出一个“验证钱包”的界面，要求他输入助记词。他照做了。
三分钟后，账户里的2.3个ETH被转到一个陌生地址。这类事件不是孤例。TPWallet（指TokenPocket）是一个去中心化多链钱包，国际版面向海外用户了，支持BTC、ETH、BSC等主流公链。它的官网下载页面。是唯一能保证安装包没被篡改的入口。可惜了，搜索引擎结果里混杂着大量克隆站，它们买广告、做SEO，就等着你点错的。
怎么判断自己打开的是真正的国际版官网下载页面呢？看域名。
官方域名以tokenpocket.pro或tokenpocket.io结尾，不会用“tpwallet-download.com”这类拼凑词。更可靠的办法是去官方推特（X）或GitHub仓库找链接是这两个渠道的账号有历史记录，仿冒者很难长期维护。打开页面后。拉到最底部，正规官网会列出公司注册信息、开源代码库、审计报告了。克隆站一般只有一个醒目的“立即下载”按钮，其他什么都没有啊？我见过一个假站，连“关于我们”都点不开的，它的下载量显示“10万+”。下载完国际版，不要急着导入资产了。先验证安装包。
安卓用户可以把APK的SHA-256哈希值和官网公布的值对比。iOS用户则要确认自己是在App Store对应地区账号下下载的。有人第三方APK站下载了“国际版”，结果私钥在首次联网时就被上传还有远程服务器。更隐蔽的陷阱是电报群和微信群里转发的“内部版安装包”。官方永远不会在群里发安装文件。助记词是你的全部资产，任何App、网站、客服向你索要助记词，都是诈骗。
没有例外。TPWallet国际版和国内版在功能上有差异的。国际版内置DApp浏览器、支持法币入金通道、提供多语言界面。功能方便。
也让钓鱼网站更容易仿冒。一个实用的测试方法，下载后先断网打开，看它是否要求联网才能显示界面是正规钱包会先让你创建或导入钱包呢？但不是强制联网验证。用只存少量资产的“热钱包”先跑几天吧？确认没问题再转移大额资产。硬件钱包仍然是长期存储的首选。搜索“tpwallet官网下载国际版”时，多花两分钟核对官网了，比事后追资产轻松得多。
