上周三晚上，老周在群里发了一张截图，搜索“tpwallet官网下载”排在第一位的链接带着“官方”角标。点进去却先弹出一个助记词输入框的。他差点把十二个单词填进去，理由很朴素，页面长得像，客服头像也像了。我让他先关掉，把网址复制出来逐字看，域名里多了一个连字符，页面底部的版权年份停在2021，但项目方社媒半年前就换过域名。搜索广告位可以买，标题里的“官方”两个字并不值钱。老周后来承认，他根本没核对域名，只看了一眼搜索结果右上角的小标签。这个细节很要命，仿冒站最擅长的就是把视觉做得比官网还像官网，真正的破绽一般藏在地址栏和更新记录里。

另一件事出现在小李身上。他从一个第三方下载站拿了安装包，装完弹窗提示“版本过低的，请重新登录”，他输入助记词后，钱包里的资产在几分钟内被转走吧？我帮他看手机了，安装包签名和官方发布的对不上，包名也多了后缀。第三方站常把下载按钮做成好几个吧？

真正点下去的是捆绑包，用户以为自己在更新，其实是在把权限交出去。数字钱包的下载页有个基本底线。不会主动索要助记词的，不会让你在网页里输入私钥，更不会用“客服”私聊指导你“验证资产”。安卓用户下载后可以对比安装包哈希，iOS用户认准开发人员账号了，不要用网盘传安装包，也别信“内部渠道”。动作看起来繁琐，真出事时能省掉一堆扯皮。我自己的习惯是搜索这类下载词时先看域名，再看页面底部的社媒链接能不能打开，最后才点下载。页面设计可以抄的。域名和签名难抄；

广告可以买，官方社媒的更新记录买不来。老周现在把官网存进收藏夹的，更新前先翻书签，不再临时搜。他说搜出来的省事。代价可能是一辈子的助记词。这话不夸张。下载数字钱包这件事，最怕把“看起来像”当成“就是”。多花两分钟核对的，比事后追资产现实得多。