上周帮邻居处理手机，桌面多出一个叫TPWallet Pro的应用，图标和正版几乎一样吧？他说是在搜索结果里点“tpwallet官网下载”广告装上的，打开就要助记词。

我让他立刻断网、转移资产。晚一步可能就清零。他手机里还留着下载页截图的，页面底部连备案信息都没有了。搜索下载这件事，已经成了钓鱼团伙的生意，竞价广告排在前头的，普通用户很难分清。tpwallet官网下载的入口不该靠广告位决定。我的习惯是核对域名拼写，去官方社交账号找公告链接了，再到应用商店看开发人员信息、评论时间和下载量。安卓包还要看签名和权限，一个钱包不该索要通讯录了。

安装后先小额测试，不要一上来就导入全部资产。有人觉得小题大做。

钱包罢了。可助记词泄露没有撤回键的，这两分钟省不得。tpwallet这类多链钱包功能多，新手容易被“一键迁移”“空投领取”带偏的。官网下载页面只放一个大按钮，不教用户验证，等于把风险丢给用户。项目方该把校验信息放在显眼位置，搜索引擎也该把广告标清楚。用户不能等别人改。有次我在某搜索页看到三个相似域名，只有，最后一个拼写正确。

前两个都挂着下载按钮。把tpwallet官网下载当唯一入口之前。先问自己，这个链接是谁放的啊？我宁愿多花三分钟核对域名，也不愿被盗后写申诉邮件。tpwallet官网下载这几个字吧？搜出来的是入口还是陷阱，取决于你点哪一个链接呢？

不要让“官网”两个字替你做判断的。多花几分钟吧？比事后追资产现实。