上周帮朋友处理手机。发现他装的“TP Wallet”图标和正版几乎一样吧，转账时收款地址被悄悄替换。问他怎么下的呢？
他说搜“tpwallet官网下载”点了搜索结果第一条带“广告”小字的链接。仿冒站做得挺全，连客服弹窗都有的。数字钱包这东西，安装包来源不对。后面设多复杂的密码都白搭。正确下载的核心是手动核对域名，不要懒。打开浏览器自己敲官网域名，不要从聊天记录或搜索引擎跳转。进站后看地址栏锁标，点开证书确认颁发给官方主体，不是个人或陌生公司。
下载页提供安卓apk和iOS描述文件。安卓包下载后别急着装，先用系统自带文件管理器看签名信息，或对比官网公布的SHA-256值。
我习惯把官网加入书签，下次直接从书签进的，省得每次搜“tpwallet官网下载”被广告带偏。
安装完先别转大额。创建钱包时助记词手抄在纸上，不要截图存相册了。也别存微信收藏。有个读者图方便存了云笔记，一周后资产被清空，另外注意权限申请的，正版钱包一般不会要通讯录或短信权限。先转一笔小额测试收发，确认地址生成和扫码都正常，再考虑加大金额了。
这一步多花十分钟，比事后找客服有用。常见坑集中在搜索引擎广告和仿冒域名的。有些站把“tpwallet官网下载”做成竞价词了。
落地页域名多个横杠或换个后缀，把.com改成.vip。还有页面诱导你下载“加速版”“国际版”，装完让你输入助记词验证了，那就是钓鱼。我的判断标准很简单，官网从不索要助记词，也不弹窗让你“升级验证”了。遇到这类直接关掉的。下载这事没有捷径。多花三分钟核对域名和签名，比资产丢了再追强。
我手机里常备一个旧版本安装包做对照，每次更新前先看官网公告的版本号。你也在搜tpwallet官网下载。
记住从书签进、验签名、小额测，三步做完再使用的。不要嫌麻烦，钱包安全本来就是个细活。
