去年冬天。一位做跨境生意的朋友把三万USDT转进新钱包，五分钟后余额清零。
没有黑客攻击的，没有私钥泄露。他在搜索引擎里敲下tpwallet官网，点了排在第一位的推广链接，在“导入钱包”页面填了12个英文单词。就这么简单了。搜索引擎给的从来不是“官方入口”，它给的是与tpwallet官网这个字符串最匹配的结果。匹配可以靠标题堆词的。也可以靠竞价排名。那位朋友后来回忆，那个站点的配色、logo、按钮圆角都和正版一模一样，唯一差别是域名少了一个字母是他没看。
多数人也不会看，手指比眼睛快的。核对tpwallet官网地址有个笨办法，TP的官方域名以.pro结尾，不是.com、.io，更不是“cn”“vip”“down”这类后缀拼出来的变体。
更很重要的一点是任何自称官方、却要求你输入助记词来“验证身份”“领取空投”“解冻资产”的页面，一定是假的。助记词是钱包的最高权限。正版团队永远不会主动索取。我自己的做法是把确认过的域名存进浏览器书签，之后只点书签，不碰搜索框。在几个钱包社群里待久了会发现吧？求助帖的措辞高度相似，“我在tpwallet官网下载的”“我搜的就是官网啊”。
问题恰恰出在这个“搜”字上。搜索结果页是一条商业化的信息流，不是权威目录。投广告的人和做仿站的人。
比用户更懂很重要词，他们还知道多数人只扫一眼标题就点。那位朋友换了新钱包，助记词抄在纸上锁进抽屉的，链上资产拆成几笔小额分开存放吧？他说这三万块买了个教训。教训其实不难记，打开搜索框之前的，先想清楚你要找的到底是一个可核验的域名。还是第一个能点的链接。
