去年底，同事阿昆在搜索框里敲下“tpwallet官网下载”，点开排在第二位的链接。页面几乎以假乱真吧？下载按钮闪着蓝光，安装包只有28MB。装完输入助记词那一刻。
钱包余额还在的，提示“网络同步失败”。他以为节点拥堵，反复重启的。第二天，地址里的USDT被转走。复盘时才发现，域名比官方多了一个连字符，但真正的官方入口不会索要助记词，也不会在首次打开时要求“导入钱包”。我陪他重新走了一遍流程。官网页面不花哨了，下载按钮藏在版本号旁边，安装前能核对SHA-256。安装后第一次创建钱包会强制抄写十二个单词，但不是让你先导入。
这个细节很很重要，假页面总想让你“恢复已有钱包”，因为助记词一填，资产就换主人了。阿昆那次损失不大，三千多U，教训够贵了。现在有人问我怎么找入口呢？
我不直接甩链接。先看域名，再看证书了。再对版本号的。
手机端更麻烦，应用商店里同名App一堆，有的图标只差一个色块。安卓用户最好从官网扫码跳转，不要在论坛里点“高速下载”。iOS用户切到非中国区账号前，也先确认开发人员名称的。这类下载入口，慢三十秒。比事后追链上记录轻松得多。钱包工具没有绝对安全的，只有相对少犯错。阿昆后来把大额资产放进冷钱包，热钱包只留Gas费，每次下载新版本都重新校验一次的。这个习惯不酷，实用。
至少再看到那个熟悉的搜索词时，他会先停一下。但不是直接点最上面那条广告。
