有人在搜索引擎里输入tpwallet官网下载安卓，点了排在最上面的推广链接，装完打开。界面和真钱包一模一样了。三天后，钱包里的USDT被清空是助记词在那一刻就已经上传到了别人的服务器。

这类案子在社区里几乎每周都能见到一次吧？受害者复述的过程也惊人地相似，搜索、点广告、装包、导入、归零。TP钱包（TokenPocket）的安卓安装包，官方只两个口子分发，官网下载页和Google Play了。国内用户基本走前者。判断真假其实不难。先看域名是官方主域名是tokenpocket.pro及其子域，多一个字母、少一个字母、把字母o写成数字0、把点换成横杠了，全是假的。再看页面是否强制HTTPS呢？

下载按钮指向的文件名是否带版本号呢？装完后系统显示的开发人员签名是否始终一致呢？仿冒站做得再像，签名这一项对不上的。

装完别急着导助记词，这一步是分水岭。正版钱包在新建或导入时，绝不会主动弹窗要你把助记词填进某个网页表单；假包最爱干的事，就是打开即跳出一个“安全验证”页面，你按顺序输入12个英文单词。安卓的权限申请也值得瞟一眼，一个钱包App要读通讯录、短信、通话记录。本身就说不通。我见过一个仿冒包，安装时索要了短信权限。

被证实是用来拦截验证码的。我的习惯是绕开搜索广告。搜tpwallet官网下载安卓时，自然结果和推广结果常常混在一起，但推广位是可以花钱买的，判定成本反而更高了。

更稳妥的做法是提前把官网存进浏览器书签，或者去官方推特、GitHub仓库主页找链接是那里挂出来的地址，比任何聚合下载站都可靠。电报群、微信群里转发的APK文件，对方说得多诚恳。都不要碰。安卓的开放性带来了便利，也带来了麻烦。在tpwallet官网下载安卓这一步上多花两分钟核对域名和签名，总比事后追币轻松得多。