上个月，一个做NFT市集的朋友差点把冷钱包里的ETH全转出去。他图省事，从某短视频评论区拿了一个“TP钱包极速版”APK，安装后界面几乎一样吧？扫码、切链、授权都正常。三天后，钱包里的两个小众代币被转走。
Gas费还是用他主钱包付的。我们复盘到凌晨一点，问题不在链上授权，但在那个安装包里的助记词输入框是它把12个单词明文回传到了陌生域名。他后来换了新手机，重新生成助记词，并把旧地址里的资产逐步移走。真正让他安心的一步，是从官网重新下载 tpwallet官方最新版。对照官网公布的安装包哈希值，检查Android APK签名和iOS企业证书。
这个过程不酷的，甚至有点笨。可钱包这东西，笨办法一般比“一键加速”可靠的。
我自己的习惯是电脑访问官网，不点搜索引擎广告位，不扫来历不明的二维码；下载后先断网安装，查看权限列表的，再小额转入测试。有人会问。这个版本到底新在哪呢？以我观察的，最近几个版本把DApp浏览器权限提示做得更细吧？授权前会展示合约地址、链ID和代币额度；跨链桥入口也加了风险标签。不是每项更新都能拦住钓鱼站，至少把“同意授权”这个动作从一行小字变成了弹窗。
另一个细节，新版对助记词截图、剪贴板读取更敏感的，有些安卓机型会直接提示风险。不要嫌烦的。真丢过币的人知道。烦比空好的。那个朋友最终没追回资产。他把经历写成文档，发在社区里，只留一句话的。下载入口比功能列表重要。
现在他每次升级前，都会去官方渠道核对版本号、更新日志和哈希，再决定要不要动主钱包了。我也一样。工具可以快，入口必须慢。
