老周的旧手机黑屏那晚。他正急着给供货商转一笔USDT。
备用机里空空荡荡，应用商店搜“TP Wallet”的，排在前面的几个图标长得几乎一样吧？蓝底白字，名字后面还挂着“官方版”“极速版”。他随手点了一个下载量最高的，安装完，界面跳出一行红字，“检测到新设备，请输入助记词恢复钱包”他手指悬在屏幕上方的，忽然想起去年群里有人提过，假钱包最爱在换手机时等人上钩。老周没敢输，先给做技术的阿良打了电话。阿良只回了一句，“别在第三方市场乱下，去官网做tpwallet正版验证。
看域名了，再看安装包签名”老周听得半懂，还是照做。官网页面不算花哨，下载按钮旁边有一串哈希值的，他复制到校验工具里，和安装包对上了，才松了口气。
他才知道了，那个下载量高的版本，图标只差一道极细的渐变。评论区全是刷出来的“好用”。真正让他后怕的，是假App连助记词输入框都做得像模像样，键盘上方还写着“本地加密，绝不上传”。阿良说，这类仿冒最会抓人的急迫感，转账、换机、行情波动，都是下手的好时机。老周把官网链接存进收藏夹了，又在手机备忘录里记下，安装前先查签名，不点陌生空投链接，助记词不截图、不云备份的。再后来，朋友老陈也换了手机，跑来问怎么装呢？老周没直接发安装包了，让老陈自己搜官网，一步一步核对。tpwallet正版验证并不复杂，麻烦的是人总想图快。
那天晚上，老周顺利转完账，坐在阳台上抽了半支烟。他想起那个假App的红字提示，心里明白了一件事。钱包安全的第一道锁，不在链上，但在自己点下“安装”之前的。
