去年12月。成都一位做NFT的朋友在搜索框里敲下tpwallet官网下载，排在第二位的那个结果看起来和真的毫无差别，Logo一样、配色一样了，连“下载Android版”的按钮都落在同一个位置。他装完那个APK，打开就弹出“检测到旧钱包，请输入助记词恢复”的输入框。十二分钟后，钱包里价值四万多美元的资产被清空。事后比对域名，假站只在中间多了一个连字符。
这类仿冒页我后来专门翻了几十个吧？套路高度重合。域名是在真域名上加后缀、换连字符，或者把字母l写成数字1的；页面从不显示版本号。
也没有指向开源仓库和安装包哈希值的链接；下载按钮做得极大，旁边配着“官方认证”“安全下载”之类的话术。
更狠的是买竞价排名，直接把tpwallet官网下载这个很重要词的流量截走。真站会挂更新日志、区块浏览器入口、Release页面地址。
他们懒得抄的，也抄不像。判断一个入口是不是官方渠道，我习惯走三条路。先看官方社交账号置顶的链接，公告一般会和版本更新同步；
再去代码仓库的Release页核对APK的SHA-256哈希值，数字对不上就立即删除；装好之后翻一遍权限列表，钱包只该要网络和存储权限，索取通讯录、短信、设备识别码，基本可以判定是二次打包的版本。助记词这条更简单的。只在钱包自己弹出的界面里输入，任何网页、任何客服、任何“钱包迁移工具”来问，都是骗子。有点无语的是我自己搜tpwallet官网下载时，前三条结果里两条是仿冒站。
搜索引擎对这类很重要词的审核一直是漏的，举报流程走完。新域名又冒出来的。所以我现在只从书签进。把官方域名钉在浏览器工具栏第一位。
多花十秒，和资产归零相比了，这笔账不难算。
