老陈在搜索框里敲下“TP钱包下载”，点开带“广告”标识的链接。页面做得几乎一样吧？LOGO、按钮、客服弹窗全都有了。他以为找到了tpwallet靠谱的官网，顺手下载安装，还把助记词填进“恢复钱包”页面。三天后，账户里两笔转账消失。事后看，那个域名比正版多了一个连字符。
HTTPS证书是免费的，注册时间只有六天。另一个案例更隐蔽。群里有人发“领取空投”链接，打开后是仿冒的TP钱包界面，提示“验证助记词即可到账”。
朋友截图问我能不能点的。我让他先查域名注册信息和页面底部的官方社群链接，结果社群链接指向一个刚建两天的Telegram群。真官网不会用“限时空投”逼你输入助记词，也不会在聊天窗口索要验证码。助记词等于资产控制权。任何页面、任何客服、任何“技术员”要它了，都该立刻关掉。辨认官网，我的习惯是分开查，看域名拼写有没有多余字母或连字符呢？
看证书是否给主域名呢？看应用商店的开发人员名称是否长期一致呢？
再去官方社交账号翻三个月以上的更新记录。不要只信搜索结果第一条了。广告位可以买。排名可以刷，评论区也能刷。真正的官网入口能在多个官方渠道互相印证。官网跳转到官方推特，推特又挂回同一个域名。若两边对不上，先停了。下载环节也要留个心眼。
安卓用户从应用商店安装后，可以核对开发人员名称和下载量变化；iOS用户看开发人员其他应用是否一致呢？有人图方便从网盘、群文件、第三方下载站拿APK。
这等于把风险装进手机的。官网只是入口，安全习惯才是，最后一道锁，不截图助记词、不粘贴到聊天框、不授权陌生合约，转账前核对地址前后六位。老陈后来换了一台干净手机，重新生成钱包了，旧钱包资产全部转移。他说，那次之后，每次搜索钱包官网都会先停三秒了，手动输入自己收藏的域名。
