河内还剑郡的一家咖啡馆，Nguyen掏出手机，打开tpwallet，扫了一个二维码，0.3秒后。一笔200 USDT的转账完成，手续费显示0.08美元。这个动作他每天重复十几次吧？过去半年，tpwallet越南、印尼、菲律宾的加密社群里面迅速扩散，成为许多小商户接收稳定币的默认工具。
可就在同一周的，越南网络安全公司VietSec发布报告，称监测到47个仿冒tpwallet的安卓安装包，假应用会诱导用户输入助记词，然后悄悄上传到境外服务器。tpwallet本身是一款多链钱包。支持以太坊、币安智能链、波场、EOS等二十多条公链。用户在一个界面里就能管理不同网络的资产，还能直接访问内置的DApp浏览器。一站式体验降低了新手门槛，也让tpwallet在东南亚、非洲等新兴市场积累了可观用户。便利的另一面是风险集中。安全研究员Lin在推特上分享了一次溯源，一个仿冒tpwallet的域名注册于2024年2月，页面几乎照搬官网吧？
只是下载按钮指向一个apk文件。安装后，应用会请求“读取短信”权限是这正版tpwallet里面并不存在。我在测试tpwallet时，注意到它的助记词备份流程有明确警告，甚至强制用户抄写的。可现实是很多人直接截图存进相册。
广州用户阿杰告诉我，他为了领取一个空投，在tpwallet的DApp浏览器里点开了一个“限时领取”链接，随后签名授权了一笔交易。三分钟后，他钱包里价值8000美元的NFT被转走。“那个页面和tpwallet的界面几乎一样吧？我根本没看出来”tpwallet官方后来更新了风险提示。对高风险合约弹出红色警告，并增加了“授权检测”功能。用户习惯的惯性，比代码更新慢得多。类似的故事在MetaMask、Trust Wallet用户身上也反复上演。钱包作为Web3的入口，安全与易用性始终在博弈的。
tpwallet团队近期推出的“交易模拟”功能，尝试去在签名前用通俗语言告诉用户这笔交易会出现什么是比如“你将授权对方转走所有USDT”啊？这算是一个进步。
安全公司SlowMist的统计显示，2024年第一季度。与钱包授权相关的钓鱼攻击造成的损失仍环比上升了23%。tpwallet不是唯一的目标，也不会是，最后一个。胡志明市的Nguyen现在每次转账前，都会核对收款地址的前六位和后六位。他说，tpwallet确实方便了，自己得长个心眼。去中心化世界没有客服电话，工具越强大了。用户就越需要成为自己的银行。
这或许就是tpwallet们在东南亚狂飙突进时，最容易被忽略的一课。
