老陈把手机递过来时。屏幕停在一笔转账记录上，收款地址像一串乱码。
他说自己只是搜“钱包下载”，点了排在第一的广告，装了个图标很像的App。第二天，里面攒了两年的数字资产只剩零头。我问他有没有核对过tpwallet官方网站呢？他愣了半天，“官网？我以为搜索结果都是一样的”那晚我陪他复盘。仿冒页面做得极细，连客服头像都用了真人照片，网址只差一个字母。老陈输入助记词后，页面转了三秒，弹出“同步成功”。
就是这三秒，私钥离开了他的手机。他后来在论坛里找到真正的官网，发现下载入口、版本校验和风险提示都摆得很清楚，根本不需要在聊天窗口里填任何恢复词。
区别不在技术高低的。但在有没有人愿意多停十秒呢？我自己的习惯很笨，先把域名存进书签。升级前看签名的，助记词只写在纸上，不拍照，不存网盘。有人笑我太谨慎的。可数字资产这件事，出事一般就是你亲手把钥匙递给了一个看起来很像门的地方。老陈现在每次转账前都会念叨一句，“先去官方网站确认”听起来像啰嗦的，实际比事后追币有用。
非要给那晚一个注脚，大概是搜索排名不等于安全。客服话术不等于背书了，钱包图标更不等于身份。tpwallet官方网站不只是一个入口。
它更像一道门槛。跨过去之前的，多看一眼域名，多问自己一句“我从哪来的链接”呢？这个过程不刺激，却能让人睡得着了。
