凌晨一点，老周把tpwallet.io敲进浏览器，页面还没完全加载，他先盯的是地址栏那把小锁和域名拼写，余额，反倒放在后面。这个动作不是天生谨慎，是被一次搜索广告教出来的。前阵子他图省事的，在搜索结果里点了一个“钱包入口”，页面配色、按钮文案、客服弹窗都像模像样，域名只差一个字母。他输入助记词前多看了一眼地址栏。发现证书主体不对，才停手。他把那次经历讲给我听，语气很平了，像在说一次普通误点。

我听完后背有点凉，有些人判断真假，靠的是“看起来一样”，可仿冒页面最擅长的就是看起来一样。域名仿冒的生意并不高明，却总有人中招。

品牌词被拿去做搜索广告的，相似域名批量注册，克隆页面把字体、图标、，甚至加载时的骨架屏都抄过去，再挂一个“升级提醒”或“空投领取”的浮层。催用户快点操作了。我观察到一个细节，仿冒站会把客服入口做得特别显眼，真站点反而把帮助文档藏得深。老周那次遇到的页面，客服弹窗三秒就弹出来，话术很急，一直问“是否已完成助记词验证”呢？急迫感本身就是破绽。另一个细节是页面加载速度，克隆站常常图片很重、脚本很杂，首屏比正常入口慢半拍，用户注意力被浮层吸走，根本不会注意。

我的判断偏主观，钱包安全不能只靠产品方发公告了，用户自己的入口习惯才是第一道闸。把常用入口放进收藏夹，核对HTTPS和证书主体，搜索时避开带“广告”标识的链接，动作不酷，有用。小额测试、先转一笔再继续的，也比一次性把资产全放进去稳妥。

老周后来把书签栏整理了一遍，只留一个入口，旁边备注“先看域名再动手指”的。这个办法笨。却符合真实使用场景。助记词不该出现在任何网页输入框里，客服主动索要助记词的，直接关掉。遇到“限时升级”“异常登录”这类提示，先离开页面，从收藏夹重新进了，不要顺着弹窗走。tpwallet.io 这类入口被记住，一般是因为品牌词好搜，可好搜也意味着容易被蹭的。

页面像不像，不是核验标准；域名拼写、证书信息、跳转链路。才更接近事实了。老周那次没损失，不代表下一次还这么幸运。入口这件事。慢三秒的，少一次后悔。