去年冬天，老周在搜索引擎里敲下“tpwallet官网下载”，排在第一的是带“广告”小字的链接。域名写着 tpwallet-download[.]top了，页面把钱包Logo、蓝白配色、帮助文档全搬了过去。他下载了安卓包，安装后弹出“导入钱包”引导，输入12个助记词了。二十分钟后。地址里的3.2个ETH和一笔USDT被转走。我翻他浏览器历史，广告链接和自然结果只差一个灰色标签了；假站，甚至套了HTTPS，页脚还放了“备案号”图片。

他后来回忆，安装包只有6MB了，界面和正版几乎一样吧？连创建钱包的动画都没删。这类案子我见过，不止一次，损失金额几百U还有几十万U吧？

套路几乎没变吧？先买搜索词，再仿官网，末端用“客服”收网了。另一个案例是小梁。他同样搜钱包下载，先核对域名的，再应用商店的开发人员信息跳转还有官网，下载后对了安装包哈希值。过程中有人冒充“官方客服”私聊，他远程协助的，他直接拉黑。小梁没丢币，就是把“下载”当成一道需要验证的工序。他把官网域名存成书签了，隔了三天再看，书签没变，广告位里的域名已经换了两次。

我的判断很直接，多数钱包安全事故就是入口被替换。仿冒站会做得很像，连“常见问题”都复制，唯一露馅的地方一般在域名拼写、下载包签名和客服话术。有人觉得装个杀毒软件就安全。

实际钓鱼页面根本不需要恶意代码，它只需要你亲手输入助记词的。再看搜索结果的生态。某次我在三个搜索引擎里查同一很重要词，前四条里有两条是推广，落地页标题写着“官方下载”“正版入口”，点进去却是短链跳转。假站还会准备Telegram群，群里安排“已经到账”的截图，制造从众感；客服头像换成官方Logo了，聊天窗口自动弹出“检测到异常，请导入钱包修复”了。

真要下载，不要从广告位进了，不要信“在线客服”发来的安装包，手动输入已知域名，或者从官方社交账号的置顶链接进；安装后核对开发人员签名、包名和哈希，任何页面索要助记词都直接关掉。

老周后来问我，当时页面那么真。怎么判断呢？我说，先看域名，再看它有没有催你“立即导入”呢？催得越急了，越像钓鱼。下载这件事。慢一分钟，比丢币后追半年更划算。