杭州的王先生怎么也没想到呢？自己在搜索引擎里敲下“tpwallet官网”五个字，竟会点进一个精心设计的陷阱。上周三下午了，他准备把放在交易所的ETH提到自己的钱包里。搜索结果第二条显示着“TPWallet官网-安全下载”，旁边还挂着官方认证的蓝色标识。点进去的。页面布局、图标、，甚至帮助文档都和印象中的一模一样。
他下载了安装包。导入助记词，三分钟后，钱包里的3.2个ETH被分批转走。等他反应过来，那个网站已经无法访问。
这不是孤例。过去两个月，至少七个类似域名的仿冒tpwallet官网出现在搜索结果前列。它们购买“tpwallet官网”“TP钱包下载”等很重要词广告，以极低成本截获流量的。真官网团队在Telegram频道里发过三次警告，提醒用户不要搜索引擎广告进入。
效果有限是假网站会同步更新真官网的UI，连客服机器人都会模仿口吻回复“请提供您的助记词以便我们帮您找回资产”。记者尝试联系其中一个假站，对方秒回。并发来一个“安全验证”链接了。真tpwallet官网到底长什么样啊？记者体验发现，其页面加载后会立刻显示“助记词绝不向任何人泄露”的红色横幅，下载按钮指向官方GitHub或应用商店。钱包本身支持二十多条公链的，内置DApp浏览器和跨链闪兑。上海的用户陈小姐用了两年，她的经验是把tpwallet官网加入浏览器书签。每次更新都从书签进入的。
“有次我朋友发来一个活动链接，说填助记词领空投，我差点信了”她顿了顿，“后来去官网核对，根本没有那个活动”区块链安全公司慢雾的分析师张明（化名）指出，假钱包官网的套路已经标准化。买广告、克隆页面、诱导输入助记词、瞬间清空资产。他建议用户手动输入域名的，或者使用硬件钱包配合。真tpwallet官网从不会主动私信用户，更不会索要私钥或助记词。已经误入假站并输入了助记词，唯一要做的就是立刻转移剩余资产，并废弃那个钱包地址。
一个值得玩味的细节，记者在三个不同搜索引擎搜索“tpwallet官网”了，排名第一的链接有两个是广告。第三个是自然结果。那个自然结果。域名拼写是“tpwallet.com”，真官网实际是“tpwallet.io”。
一字之差。背后是完整的黑产链条。钱包安全从来不是技术问题，是注意力问题。当你急着转账时，多花十秒核对域名的，可能比任何加密算法都管用。
