上个月朋友的遭遇让我印象很深。他在应用商店搜“TP钱包”，按下载量排序装了第一个，图标、开屏动画、界面配色几乎挑不出毛病吧？三天后钱包里的USDT被分批转走，只剩零点几个留着当gas吧？他后来才弄明白。

那个应用是仿的。事在圈内算不上新闻，隔几周就有人掉进去吧？掉法还都差不多是从一个模糊的搜索框开始。把“tp钱包官方正版下载”这几个字敲进搜索框的人吧？多数不是新手。真正的新手一般直接用交易所，反倒是有一定经验、又吃过中心化平台亏的那批人，才想着把资产拿回自己手里了。问题在于，这个动作本身就把人送上了一条布满仿冒品的路。搜索引擎的竞价广告、应用商店的刷量、群里转发的APK安装包、视频下方置顶的“官网链接”，每一条都通向一个做得挺像的假钱包。

有团队专门做这门生意，买词、做落地页、收助记词。链条清晰得像个正经行业。有件事得说清楚。钱包和银行不是一回事。

TP钱包这类去中心化钱包，私钥和助记词生成在你的设备本地，官方服务器上根本没有你的资产记录。两件事，官方不会打电话让你“验证助记词”，谁问谁就是骗子啊？装了假应用、亲手把助记词输进去。官方也追不回来。人指望“官方”能兜底，这份期待本身就跑偏了。厂商能做的，是发公告、做域名校验、提醒风险，但，最后那一下点击，是你自己的手指按下去的。

那到底怎么找呢？我的办法很笨，管用。不走搜索引擎的，直接手输官网域名，认准HTTPS和证书主体的；

只在Google Play、App Store或官网公布的渠道下载，进了商店也要核对开发人员名称，不要只看星数和下载量；装完瞄一眼权限，一个钱包不该要通讯录。安卓用户特别的要躲开那些“中文优化版”“节点加速版”的安装包，多出来的那点便利，代价一般是你全部的余额。还有一条是任何让你截图助记词、把助记词填进网页的页面，关掉就行的，不用犹豫。不用怕误伤。把下载这件事做对，技术上没什么难度啊？难的是心态。人一着急，就容易相信排名、相信截图、相信群里那个热心的“客服”。

我见过太多人资产清空之后才回想起来。自己当初省下的那两分钟核对时间，可能是这辈子最贵的一次偷懒。