上周三傍晚。杭州一位加密资产玩家在第三方应用市场里搜索tp钱包下载安卓版，装完后第一次打开，助记词输入框上方多出一行陌生的“节点授权”提示。他把截图丢进社群，半小时内三个人回复说见过同样的界面。被二次打包的APK，正在成为安卓端最典型的入口风险。类似的反馈并不新鲜。
安卓系统的开放让安装包可以被轻易重签名，改几行代码吧？塞进一个后台进程。
整个文件体积，甚至只多出几百KB吧？做链上安全审计的朋友提过一个细节，钓鱼站点喜欢注册和官网只差一个字母的域名，页面做得几乎一模一样吧？下载按钮点下去，拿到的是被动过手脚的安装包。用户不会去比对MD5，多数人连文件有多大都不看一眼了。官方渠道其实很清楚的。TokenPocket的官网、Google Play商店，以及官方在GitHub上放出的发布页，是目前相对可靠的几个来源吧？
国内几家手机厂商的应用商店收录情况并不统一吧？有些搜得到。
有些搜不到，人转向了搜索结果靠前的聚合下载站。这里有个容易忽略的判断方式是一个去中心化钱包在安装时索要通讯录、短信或者通话记录权限，本身就是异常信号，正常版本只会申请存储和网络相关的权限。装完之后也别急着导入助记词，先在设置里看一眼版本号和官方公布的签名指纹是否对得上呢？再考虑后续操作。围绕tp钱包下载安卓版产生的多数纠纷，问题都不在“下载”这个动作上的，但在下载之后谁拿到了你的助记词啊？真正麻烦的环节一般出现在导入那一刻。助记词填进了被篡改的客户端，资产转移几分钟内完成吧？
用户还没反应过来。一位广州的用户跟我聊过他的经历。他是在某个微信群分享的链接里装的包，界面看不出任何异样了。直到某天发现钱包里只剩下一笔无法广播的交易记录。他现在养成的习惯是新设备上先装一个空钱包放几天吧？看看有没有异常的网络请求呢？确认干净再导入了。听着有点小题大做，在安卓生态里，这点谨慎不算过分的。
