三月中旬，一位深圳用户在搜索框里敲下 tpwallet.io，点开第一条结果，连接钱包、填写助记词、确认了，前后不到四分钟。等他再打开账户。资产已经清空。事后比对域名，钓鱼页面与 tpwallet.io 之间只差一个字符，但页面本身挑不出毛病是图标、配色、在线客服的头。
类似的事情在链上社群里算不上新闻。安全机构近半年披露的仿冒域名清单里，带有钱包品牌词的地址占了很大一块。tpwallet.io 是被引用次数较多的一个。麻烦在于，这个域名在社区里的身份本身也不清晰。一部分老用户把 tpwallet.io 当成 TokenPocket 面向海外市场的备用入口，理由是界面逻辑、节点配置与官方 App 高度接近；另一部分人翻遍官方公告和社媒账号，始终没找到一条直接指向该域名的声明。
“能用，不敢拿它恢复助记词”，我在三个链上微信群里得到的、几乎一致的回答吧？态度挺能说明问题。
钱包工具最怕的从来就是来源模糊。我认识一位做 NFT 二级市场的朋友，今年一月在 tpwallet.io 上连接过一次钱包的。只签了一个名，半小时后 0.8 个 ETH 被转走。复盘时发现问题不在域名，但在签名页面是把 approve 写成了“确认领取空投”。域名干净，合约未必干净，tpwallet.io 这类高频出现的地址，恰恰最容易被拿来充当这层“干净的外壳”。判断一个钱包入口值不值得长期用，我自己的标准有三条。
助记词只在离线环境里出现；每一次签名都当成一次授权审查的，特别的是无限授权；入口地址从官方渠道核对，但不是从搜索广告位点进去。tpwallet.io 会不会成为被官方正式背书的入口，眼下没人给出确定答案。可以确定的是围绕它的真假博弈还会继续下去，但用户能做的，是把 tpwallet.io 这类地址当成“入口之一”。
但不是“唯一入口”。
