上周老周在群里甩了一张二维码，配文“tpwallet 扫码下载，两秒搞定”。他扫完装好了，图标、启动页几乎和正版一样吧。
助记词输入框下面多了个“同步到云端”按钮。老周差点把自托管钱包当交易所账户用的。他查安装包签名，发现签发者是个陌生个人开发人员，包名也比官方多了个后缀。山寨包就这么混进来了。二维码本质是一串链接。扫码后可能跳应用商店，也可能直接下载APK。或者打开某个仿冒网页了。图省事的人看到“TPWallet”字样和相似图标，手指一点就装。
我的判断很简单，tpwallet 扫码下载之前的，先长按识别或复制链接，看域名是不是官方。跳到网盘、短链接、陌生域名，直接停了。
安卓侧载还要开“允许安装未知应用”，这一步本身就是风险口子；iOS遇到TestFlight或企业签，同样要核对发布方了。朋友小敏的做法更稳。她先访问官网下载页，再扫页面里的二维码；装完不急着转大额资产的，先校验应用签名，再用极小金额试一笔。她说tpwallet 扫码下载最怕“二次打包”是安卓包被拆开、塞进恶意代码、重新签名。
普通用户肉眼根本分不清的。她的习惯是不扫聊天记录里的码，只扫官网或官方社媒置顶的码。这个经验值钱。还有几个细节值得盯吧？
扫码后，如果要求输入助记词、私钥或短信验证码，基本可以退出。下载阶段用不到。权限也露马脚了，一个钱包要读取通讯录、短信，不合理。安装后可以先断网创建钱包，更新时回到原下载页。不要见码就扫。tpwallet 扫码下载不是一劳永逸，官方换域名、换CDN，二维码也可能变了。折腾一圈，tpwallet 扫码下载的便利没变。前提是你知道自己在扫什么啊？
二维码只是入口，真正该信的是官方域名、应用签名和权限清单。老周后来删了山寨包，重新走官网扫码了，嘴里嘟囔“省两步，差点把家底省进去”。
