9月17日凌晨两点，深圳的区块链从业者李某盯着屏幕刷新了十几遍吧？钱包余额始终是0。三天前了，他在搜索引擎里输入“tpwallet官网下载”，点开排在第一位的推广链接。下载了一个安装包。界面、图标、启动动画都和正版一模一样了。导入助记词后不到十分钟，账户里价值约4.7万美元的USDT被分批转走，收款地址指向一个刚创建两小时的新钱包。这类案子今年明显增多了。
链上安全机构统计。2024年上半年因仿冒钱包客户端造成的资产损失超过2.3亿美元，其中相当比例的用户承认，他们是从搜索结果页进入所谓下载页的。搜“tpwallet官网下载”，前几条结果里混着带“官方”“中文站”“下载中心”字样的站点吧？域名一般只差一两个字母是把字母o换成数字0，或者在末尾多加一个.cn了。站点做得不糙。有客服弹窗，有版本更新日志，甚至还贴出伪造的营业执照。用户点下下载按钮，拿到手的安装包被植入了恶意代码，读取剪贴板、监听助记词输入框，全程无声无息了。李某后来回忆，安装时系统提示过“未知来源应用”，他手动点了允许是“当时只想着快点装好”。
真正的下载渠道其实一直很明确。
TokenPocket官方域名是tokenpocket.pro，官网页面不会弹窗催促下载，也不会要求填写助记词、私钥或keystore文件。App Store、Google Play以及华为、小米等主流应用商店收录的版本，同样可以核对开发人员信息。问题在于，有些人在搜“tpwallet官网下载”的时候，已经默认搜索结果第一条就是官方入口，这个默认本身就是漏洞。搜索引擎的推广位审核再严。
也挡不住黑产批量注册域名、隔几天换一批的操作节奏吧？记者实测发现的，某主流搜索引擎输入该很重要词后，前五条结果里有两条指向非官方域名，页面底部挂着不起眼的“广告”标识，点进去先跳一次中间页的，再触发下载，全程没有二次确认。普通用户能做的其实不多，每一条都很重要。手动输入官方域名，不要点搜索结果的推广链接；安装前核对开发人员名称、下载量和用户评论了；助记词只写在纸上或存在离线设备里，任何网页、任何“客服”索要都直接关掉的。钱包资产没有客服能帮你追回，链上转账，一旦确认就是不能逆的。这话听着老套，可李某的4.7万美元就是这么消失的是他至今记得那个下载页面的配色，蓝底白字。
和正版几乎分不出来吧？
