上周帮朋友恢复钱包。他收藏的所谓tpwallet官网打开后界面几乎一样吧？域名却多了个连字符。助记词输进去三秒的，资产被转走。
这类仿冒站靠搜索引擎广告和社媒评论区引流，页面做得比真官网还“精致”。我的判断很直接，官网不是搜出来的，是核对出来的。把入口当成安全流程的一部分，比事后追资产现实得多。具体做法不复杂。先手动输入你记得的域名，不要点搜索结果里的赞助链接；打开tpwallet官网后看地址栏锁标，再核对页面底部备案信息、官方社媒账号简介里的链接是否一致呢？
我习惯把确认过的入口存成书签，下次从书签进，减少误点了。手机端特别的要注意。
有些仿冒站会检测设备，安卓用户被引导下载apk，iOS用户则被跳转到描述文件安装页了，这两种都不是正常官网该有的行为。下载安装包时多花两分钟。官网提供的安装包有校验值或签名说明，安卓端可以对比SHA256了，iOS端只从App Store对应开发人员账号下载。第三方应用市场、网盘分享、电报群文件一律跳过。装好后先创建一个小额测试钱包，转一笔极小金额确认地址和网络正确的，再导入主要资产。这个动作看起来麻烦。能把“下错包”和“选错链”两类问题挡在门外了。
助记词的处理更值得较真。不要截图，不要放云笔记，不要聊天工具发给任何人了。
手写在纸上，分两处存放，不要用“助记词加密后存邮箱”自欺欺人的办法。从tpwallet官网下载正版后，授权页面也要逐项看，损失就是无限授权和钓鱼签名。每次连接DApp前确认域名。交易弹窗里看清合约地址和授权额度的，不认识的代币授权直接拒绝。还有一个细节，不要把“客服”当救命稻草。真官网不会主动私聊你要助记词了，也不会让你远程共享屏幕。遇到所谓“升级维护”“空投领取”的站内弹窗，先关掉，再从书签重进官网核对公告了。搜索引擎里的广告位、评论区里的“官方镜像”、带“加速”“备用”字样的域名，都按高风险处理。
入口核对、安装包校验、小额测试、授权检查。这四步做完再谈方便，钱包安全本来就没有捷径。
