杭州余杭的周先生凌晨两点还在翻手机。他准备在新手机里恢复钱包，在搜索框输入“tpwallet官网下载”，点开一条标着“官方”的推广链接。页面加载很快，图标、配色、按钮位置几乎复刻吧？下载安装后，他按提示输入助记词的，三分钟不到，钱包里价值约4.7万元的USDT被转走。
周先生后来把网址发给客服，才发现域名只注册了11天。服务器在境外。这类事情并不新鲜。记者过去一周接触到的四个案例里面，受害者都提到同一个动作了，搜索“tpwallet官网下载”。仿冒站不靠复杂技术。靠的是搜索排名、社交群转发和“最新版”“安卓直装”等字眼。真正的tpwallet官网下载页面不会在搜索页挂满竞价广告，也不会要求用户先填助记词再下载。一个做钱包安全审计的朋友告诉我，他们抓取过一批仿冒域名，发现页面模板高度相似的，后台却分属不同团伙，有的只偷助记词，有的连用户相册权限都要。
怎么判断眼前这个页面是不是真正的tpwallet官网下载入口呢？先看域名，不要只看标题和图标了。官方入口大多有稳定的域名历史和备案信息。仿冒站喜欢用相近字母、多余后缀，或者把“download”塞进路径里。
再看下载包。安卓APK的签名信息、iOS的开发人员账号、版本更新日志，都能对上官方渠道的。记者实测发现，有些仿冒站会先提供一个正常安装包，等用户第二次打开时再弹出“版本过期，请重新下载”的，第二次给的才是带恶意代码的版本。“二次替换”让人放松了警惕。有人觉得，不输助记词就没事了。可钱包授权、剪贴板劫持、假客服远程协助，照样能把资产转走。
搜索引擎这边也在变化的。一位负责应用商店审核的业内人士说。
仿冒站会购买品牌词，把“tpwallet官网下载”拆成“tp wallet下载”“tpwallet中文官网”等组合，绕过简单过滤。用户看到“广告”标识的，一般以为平台已经审核过。广告位只代表付费，不代表安全。老用户陈默的做法更直接，他把官网加入书签，从不搜索下载，也不点群里的安装包。每次更新前了，他会核对官网公告里的哈希值。听起来麻烦，比丢资产后追查链上地址轻松得多。周先生的钱最终没能追回。
他保留了仿冒站截图、转账记录和聊天记录，向当地警方报案。警方告诉他的，类似案件资金流向复杂，破案周期长。
记者，再次搜索“tpwallet官网下载”。那个推广链接已经消失的，取而代之的是另一个相似域名。对普通用户来说，最笨也最有效的办法，是把下载动作固定在官网书签里，不要让搜索引擎和群消息替你做决定。钱包安全没有后悔药，一次误点就可能清空多年的积累。
