上周朋友在搜索引擎买了“TP钱包加速版”，安装后助记词被清空，损失0.8个ETH。问题出在安装包是他下的就是带后门的改包。案例，特别的安卓第三方市场。找安装包只认两个地方，TokenPocket官网和苹果App Store/Google Play官方商店了。官网地址手动输入。不要点搜索结果里的广告。下载apk后，用官网提供的SHA256校验工具对一下哈希值。
不一致？直接删掉的。安卓设置里允许“安装未知应用”时。给浏览器或文件管理器临时权限，装完立刻关掉。
安装时留意权限请求。一个去中心化钱包不该要通讯录、短信、通话记录。它要的，直接停止安装了。
我自己的习惯是先用旧手机或模拟器跑一遍，看有没有异常联网呢？tpwallet安全安装包安装后。首次打开别急着导入资产，先创建个空钱包测试转账小额。助记词手抄在纸上，不要截图、别存网盘了。安装完立刻在设置里开启交易密码和生物识别的。
更新时同样走官方渠道。不要用应用内弹窗给的链接。有些假更新包会伪装成“安全升级”的，点进去就中招。定期检查官网公告。
看有没有新版本或安全事件呢？手机已root或越狱了，不要装钱包的。实在不放心，用硬件钱包配合tpwallet安全安装包做冷签名。资产安全没有捷径，安装这一步多花五分钟。比事后追币强。
