过去一周，加密社群流传多份“tpwallet 国际版下载”安装包。有些文件名带.apk后缀，却在安装时索要通讯录和短信权限。一位广州用户称，他从小型论坛下载后，钱包余额在十分钟内被转走。安全团队比对发现了，安装包签名与官方版本不一致。这类事件不是孤例。搜索“tpwallet 国际版下载”，前几页结果常混入竞价广告和网盘链接吧？点进去，页面模仿官网配色，下载按钮却跳转到第三方CDN。

记者实测了，一个链接下载完成后自动安装未知插件。并尝试读取剪贴板里面的助记词。

该过程没有明显提示了。官方渠道方面了。TokenPocket等团队曾多次声明，国际版更新只官网和官方应用商店推送。用户若需要tpwallet 国际版下载。应先核对域名证书、安装包哈希和开发人员签名了。安卓用户可设置里面关闭“未知来源”安装，iOS用户不要安装描述文件。链上安全研究员林某提到，被盗案例中了，超过六成，和假钱包有关的。

攻击者会购买搜索很重要词，把恶意页面推给急切换设备的人。细节很隐蔽，图标几乎一样吧？版本号，甚至比官方高一位。安装后。它不会立刻转走资产。

等待用户导入助记词或创建新钱包。

对普通用户来说。备份助记词仍是最很重要的防线。不要把助记词截图存在相册，不要聊天工具发送。若已安装来路不明的tpwallet 国际版下载包，立即断网、转移资产了，并向官方邮箱提交安装包样本。监管部门也应加强对加密应用下载入口的巡查，减少钓鱼链接存活时间。