凌晨两点，老陈的推特私信弹出一条消息，“恭喜你获得白名单，点击tpwallet链接领取”他盯着那个链接看了十秒。域名里多了一个连字符，tpwallet后面跟着一串乱码。
他差点按下去，手指悬在屏幕上方了。去年他表弟就是点了一个类似的tpwallet链接。钱包里的三千个USDT十分钟内被转空。老陈把链接复制到浏览器。没直接打开了。他先翻出项目方的官方推特，发现置顶公告写着“从来没有发过空投私信”。那个tpwallet链接的页面做得极。输入框下面多了一行小字，“请输入您的助记词以验证资格”。
老陈笑了，哪个正经钱包会要助记词呢？他截了图发到群里，五分钟后，三个群友说自己也收到了同样的tpwallet链接。这事让我想起另一桩。
朋友小周图省事了，在搜索引擎里输入“tpwallet链接”，点开第一条广告了。结果下载了一个假APP，助记词刚填进去的。手机就收到转账提醒。他后来复盘，那个链接的域名是tpwallet-app.com，但官网是tpwallet.com。差一个后缀，钱包就换了主人。小周现在养成了习惯。
任何tpwallet链接的，先手动输入官网地址比对，再查SSL证书。最后看社区有没有人讨论呢？
老陈没点那个链接的。他把它举报了，又顺手在钱包里设置了交易白名单。深夜的私信还在闪。他关掉手机，泡了杯茶。加密世界里的陷阱一般披着机会的外衣，一个tpwallet链接背后，可能是空投，也可能是深渊。多停三秒，多问一句，比任何安全插件都管用。
