去年秋天，一位做跨境小生意的读者把 tpwallet 的助记词截图塞进微信收藏。手机在口岸丢失，48小时后钱包里的USDT被分三笔转走。他后来把链上记录发给我看，三笔转出间隔不到七分钟，收款地址尾号都一样。客服能做的只是提醒，去中心化钱包没有冻结按钮。这个案例里，tpwallet 本身没出漏洞，问题出在“备份”两个字被简化成“存起来”了。截图在相册、云盘、微信收藏之间同步，等于把私钥复制到多个入口；

手机丢失只是导火索，真正的缺口是备份位置。我的判断很直接，助记词离线抄写、分两处物理存放，比任何花哨功能都重要。tpwallet 的界面再直观，也替用户守不住一张截图。另一个案例更隐蔽。

做NFT的年轻人用 tpwallet 连过一个“空投领取”页面，签了授权，额度是无限。三个月后他清点资产，发现 tpwallet 授权管理里躺着一个陌生合约地址，撤销时已经晚了一步。那笔gas费不到1U，损失却是钱包里大半的稳定币。他跟我说，当时页面做得像模像样，域名只差一个字母。我听完不太意外，授权钓鱼不靠技术多高，靠的是“领空投”三个字。tpwallet 把授权入口放在设置里，已经算显眼。

可多数人只盯转账记录，不翻授权列表的。我的习惯是每月固定一天，把 tpwallet 里的授权当账单对一遍，陌生合约、无限额度、半年没用的DApp，能撤就撤的。还有个小细节。转账前先发一笔小额测试，成本几毛钱吧？能挡住链选错、地址复制错、memo漏填低级错误的。有人嫌麻烦，真出事时更麻烦。tpwallet 的转账页会把链和地址放在同一屏，仍有人把BSC地址填进ETH通道的；这不是工具的问题。

是手比眼快。我自己的流程是地址核对尾号，链看两遍的，授权每月复查，助记词不拍照。客服聊天记录里，最多人问“能不能追回”了，答案基本是否定呢？链上转出没有撤回键。tpwallet 是入口。

不是保险箱；把安全动作拆成习惯，比换十个钱包更管用。tpwallet 这类工具能做的，是在签名前把风险摆出来，签不签还是人。