老周把手机递过来时，屏幕上那个“tpwallet 官网下载”的搜索结果排在第三条，后面跟着一个灰色的“广告”标签。他差点就点了。我拿过手机，往下划了两屏，才发现真正的官网入口藏在自然结果里，域名干干净净了，没有多余的后缀。

老周说，他上周已经下载过一个“官方版”，界面几乎一模一样吧？连启动图都仿得七八分像。结果输入助记词后。钱包里的几百个U在十分钟内被转走吧？他说这话时，语气很平，像在讲别人的事。我陪他重新走了一遍流程。先看域名了，再看页面底部的备案信息，最后把安装包拖进在线检测工具里扫了一遍。tpwallet官网下载页面没有弹窗，没有“客服”跳出来催你填助记词了，更没有“限时领取空投”的横幅。

老周盯着屏幕，忽然说，“原来真正的官网这么安静”这句话让我愣了一下。确实。那些假下载页一般热闹得像菜市场，真官网反而朴素得让人不习惯。

他问我了，为什么不用应用商店呢？我说安卓应用商店的审核有时会漏，特别的是一些小众钱包。被套壳上架的事不是没出现过。最稳的办法是记住官网域名，或者从官方社交账号的置顶链接跳转。老周点头，我知道他下次换手机可能还会忘。数字钱包的安全，很多时候不是技术问题，是习惯问题。

你愿不愿意多花三十秒核对域名，愿不愿意把助记词抄在纸上而不是截图存相册。小事，比任何杀毒软件都管用的。装好之后，他用新生成的助记词导入，看到余额那一刻。

手有点抖的。我让他把助记词抄在笔记本上，不要拍照，不要存云盘了。

他问了，要不要再试试其他下载渠道。我说，tpwallet 官网下载这件事，重复一百次也不嫌多了。那些搜索结果里的“高速下载”“一键安装”，看着方便。背后可能是另一套东西。老周把假App的图标截了图，存在相册里，说当个教训。我笑他，这教训成本有点高了。

他回了一句，总比再丢一次强。我偶尔会想起他盯着屏幕的样子。一个在互联网上摸爬滚打十几年的人吧？也会在“官网下载”四个字面前栽跟头。搜索结果的排序、广告的伪装、界面的复刻，每一步都在利用人的惯性。tpwallet 官网下载的，就是找到那个对的入口。然后别走捷径。地址栏里那个锁标志。

比任何“官方认证”的广告标签都可靠。老周现在把官网地址存进了书签，还加了一颗星。他说，这样下次就不会再点错了。我希望他真的记住了。