上周帮朋友找tpwallet官网。搜索页前两条都是广告，域名只差一个连字符。他差点把助记词填进弹窗了。我让他关掉页面，从官方社交账号和代码仓库反查入口，再对照应用商店的开发人员信息，才确认哪个是真正的tpwallet官网呢？这个场景很常见，搜官网的人一般在赶时间，但假站点就赌你手快。核验tpwallet官网的。不要只看HTTPS锁标。
锁标只说明连接加密，不说明运营方是谁啊？我的做法是手动在地址栏敲域名，逐字核对拼写，特别的是连字符和多余后缀；打开页面后看底部公司信息、官方社媒链接是否互相闭环呢？
公告里的下载按钮是否跳到同一域名呢？遇到短链、聊天记录转发链接、搜索结果带“广告”标签的，直接跳过。把确认过的tpwallet官网加入书签，下次从书签进的，比反复搜索稳。下载环节最容易出问题。真正的tpwallet官网下载按钮跳转到App Store、Google Play或官方发布页，页面会标注开发人员名称、应用包名和版本号的。安卓APK，如果必须手动安装。
先核对官网公布的SHA-256校验值，安装时看系统权限请求是否合理呢？我见过一个仿站了，下载按钮指向网盘，安装包名字多了一个空格，打开就要“导入钱包”。不用犹豫的。删掉。
应用商店里也看开发人员主体是否和官网一致呢？评论里有人提“助记词被要”的，先别装的。使用习惯比入口更重要。任何tpwallet官网页面要求输入助记词、私钥或Keystore密码，都该停手；官网不会要的。
助记词手抄在纸上，分两处放，不截图、不放云盘、不发聊天框了。连接DApp做授权时，看清合约权限和额度。用完在钱包里撤掉不用的授权。第一次转账先小额测试。
确认地址和网络再放大金额的。我自己的做法是新设备先小额收付一笔。再导入常用地址，减少误操作。官网不是记住一次就完事。每次大额操作前，重新核对tpwallet官网域名和公告，特别的版本更新、空投活动、客服联系这几个节点吧？假站最爱蹭热度的。
搜索广告、电报群置顶、陌生人发来的“官网镜像”都别信。慢一点，把入口、下载、助记词三件事分开处理。钱包安全就多一层保障。
