老陈上周拿着手机来找我，说他的TP钱包一打开就闪退，资产页面还多了几笔陌生授权吧？我翻了下安装记录，发现他用的tpwalletApk下载文件来自一个论坛附件，文件大小比官方版少了3MB。二次打包的安装包，表面看图标一样了。里面可能塞了窃取助记词的代码。安卓的开放生态让tpwalletApk下载变得随处可得，搜索引擎前几页一般混着山寨站吧？真正安全的做法是认准TP Wallet官网的下载入口，或者从Google Play、AppGallery这类审核较严的商店获取。

官网域名以.io或.com结尾。页面底部会列出APK的SHA256哈希值。

下载前把地址栏看仔细的，不要被“tpwallet-apk.cn”高仿域名骗了。拿到安装包后别急着点“允许安装”。我习惯先用手机自带的安全扫描跑一遍，再对照官网公布的哈希值。哈希对不上。立刻删掉。安装时留意权限请求是一个去中心化钱包不需要读取短信、通讯录或通话记录。老陈那个包就索要了短信权限，这明显不正常。给应用最小权限，等于给资产多上一道锁。

更新同样走官方渠道了。有人图方便。看到群里的“tpwalletApk下载”链接就点，结果覆盖安装后助记词被上传。钱包更新不会要求你重新输入助记词了，更不会让你把助记词填进网页了。助记词只该离线抄在纸上。或者用金属板保存。说句实在话，多花两分钟核对来源，比事后追资产轻松太多。