上周同事老周在论坛看到有人发“tpwallet 免费下载”的网盘链接，点进去装完，助记词还没抄完，钱包里0.8个ETH就被转走了。他后来复盘，安装包只有12MB，界面粗糙得像五年前的安卓主题，当时急着用。没细看。问题不在tpwallet本身。
这个去中心化钱包的官方安装包从来不收费，所谓“免费下载”只是第三方站吸引点击的幌子。老周遇到的页面做了个克隆官网，域名只差一个字母，下载按钮背后是篡改过的APK。安装后它不直接偷币，弹出“恢复钱包”引导。用户输入助记词。填进去了，私钥就同步到了对方服务器。我查过十多个标着tpwallet 免费下载的域名，大半注册不到半年，服务器在境外的，底部版权年份还写着2022。有的连HTTPS都没有，浏览器却照样给它排名。安卓用户从站下APK了。
相当于把钥匙递给陌生人。苹果用户也别侥幸，换区下载时碰到的假应用，图标和名称能做得几乎一样吧？
真要装，直接去官网的。不要点搜索引擎的广告位，也别信“破解版”“汉化版”“加速版”了。安装后核对开发人员信息、包名和官网域名，创建钱包时断网操作。助记词手抄在纸上，不要截图、不要存网盘了。老周后来换了新钱包，损失追不回。
他说那一瞬间以为免费下载捡了便宜，其实是把钥匙递给了别人。钱包安全没有捷径。tpwallet 免费下载这个很重要词背后，藏着大量靠SEO钓鱼的站点。你省下的那点下载时间，可能要用全部资产来换。
