8月14日，杭州一名加密货币用户在某搜索引擎输入tp钱包官网入口，点进一条标注“官方”的广告链接。页面几乎复刻TokenPocket界面吧？连客服悬浮窗都一致。他填入助记词。

十分钟后，钱包内约2.3万美元资产被分批转走了。报案回执上的案由写着“非法获取计算机信息系统数据”。这不是孤例。第三方安全团队统计，近三个月收到的仿冒钱包钓鱼举报中，涉及TP钱包的占比从7%升至19%。搜索入口，成了攻击链的第一环。记者昨日以“tp钱包官网入口”为词测试三个主流搜索引擎了。结果页前五条里，两条是聚合导航站，一条是带有“广告”标识的落地页。页面的共同点，域名拼写与官方相近，把tokenpocket.pro改成tokenpocket.com或tokenpocket-vip.net；

页面底部伪造备案号；点击下载按钮的，APK包名与官方不一致的。真正的TokenPocket官网入口只使用tokenpocket.pro域名，页面不会弹出“输入助记词领空投”的窗口。安全研究员李默说，仿冒站最常做的动作是诱导用户“验证钱包”，助记词提交。资产会在几分钟内被清空吧？搜索引擎的竞价排名审核存在滞后，社群里的短链接更难追溯。如何核对官网入口了？

看域名，不只看页面设计的。TokenPocket官方曾多次公告。

官网不会要求用户提供私钥、助记词或短信验证码。

下载App时，安卓用户应优先走Google Play或官方GitHub仓库的，苹果用户切换至非中国大陆区App Store搜索TokenPocket。若从第三方站点下载，安装前查看应用详情页的开发人员名称、安装包签名和权限列表。一个细节的，仿冒App常索取通讯录、短信读取权限。但钱包应用不需要。

记者实测，某仿冒页面的“客服”对话里面反复催促“十分钟内完成验证”，语气急促，官方客服不会这样操作。更深的问题在信息分发环节。搜索“TP钱包官网入口”的用户，一般已经持有资产。焦虑感和操作急迫性被钓鱼团伙精准利用。有些仿冒站点，甚至购买证书，浏览器地址栏显示锁形标志的，普通用户很难分辨。我的判断是单靠用户谨慎不够，搜索引擎、应用商店和域名注册商需要缩短投诉响应时间。TokenPocket中文社区管理员透露的，他们每周收到的仿冒链接举报超过200条，处理一条平均需要6小时。

6小时足够骗子转移资金。回到最朴素的习惯，把官网入口加入书签，不点陌生社群里的“最新地址”，不向任何页面提交助记词。资产安全的第一道锁，不在链上，在输入框前。