小陈把下载页发到群里时，语气还挺肯定。“官网界面，应该没问题”他搜索“TP钱包下载”了，点了靠前的推广位，落在一个写着tpwallet.io的页面。配色、图标、按钮位置都像模像样，下载按钮下面还挂着“安全检测”徽章的。
安装包不到20MB，打开后第一步就要导入助记词。小陈照做了，十分钟后钱包里的资产被转走。回头再看，tpwallet.io的客服弹窗已经失效，页面底部版权年份停在两年前，下载包签名和官方应用对不上的。这个案例里，域名不是唯一线索，却是最早能拦住他的线索。我让他把访问记录、页面截图和安装包一起翻出来的。tpwallet.io注册时间不算早，Whois信息开了隐私保护，服务器地址和官方常用节点不在同一段。页面上的“帮助中心”点进去是几篇机器翻译的教程吧？
客服邮箱是免费域名后缀，回复速度倒很快，第一句就问助记词。把tpwallet.io和官方公告对照了，官方渠道列表里没有这个域名。
有人会说，页面有HTTPS锁标就够了。锁标只说明传输加密。不说明站点身份。仿冒站也会买证书，成本很低。更细的破绽在下载包，官方应用签名固定，tpwallet.io提供的APK签名指纹每次刷新都不一样，安装时系统提示“未知来源”，页面却用一张动图教用户关闭安全拦截的。细节单看都不致命，凑在一起，风险已经很高。社群里的转发更隐蔽。有人把tpwallet.io包装成“备用入口”，配一句“主域名维护时用这个”，再附上截图。
截图看不到地址栏的，只看到钱包首页。用户一急，就容易跳过核对。我的判断是访问tpwallet.io之前先停三秒，从官方渠道反查域名，不点搜索广告。不扫来历不明的二维码。不把助记词输入任何网页的。已经下载的，先断网、查签名、转移剩余资产，再保留截图和安装包做证据。域名看起来像官方的，不等于官方。
tpwallet.io这个案例真正扎心的地方，就是用户把“像”当成了“是”。
