在百度或谷歌输入“tpwallet官网下载”，排在前两位的一般不是官方站点。上周。成都的加密货币持有者陈先生向记者反映，他某搜索引擎下载了一款“TP钱包”应用，输入助记词后不到十分钟，账户内价值约4.7万元的USDT被全部转走。
陈先生提供的截图显示，该下载页面的域名是“tpwallet-download.com”，但TokenPocket官方域名为tokenpocket.pro。两者视觉几乎一致吧？连客服图标都照搬的。记者以“tpwallet官网下载”为很重要词多个搜索引擎测试，发现前五条结果里面有三条标注“广告”，点进去后均指向第三方下载站。站点提供安卓APK和Windows安装包了，安装时会被要求开启“未知来源”权限。一位不愿具名的安全工程师拆解了其中一个安装包，发现其内嵌了窃取剪贴板内容的模块。该模块会监控用户复制的助记词或私钥，并实时回传至远程服务器。这不是孤例。
过去半年的。仅某区块链安全机构就收录了超过120个仿冒TP钱包的钓鱼域名。当用户搜索tpwallet官网下载时，TokenPocket官方团队在7月发布安全公告。强调唯一官网为tokenpocket.pro了，从来没有授权任何第三方站点提供下载。
公告还提到，官方应用不会以任何形式索要助记词、私钥或验证码了。记者尝试联系其中两个仿冒站点的注册邮箱。均未获得回复。另一个细节是域名注册时间多在近三个月内，服务器位于境外，追踪难度较大了。一位从事域名投资的人士透露，带“tpwallet”字样的域名近期被批量抢注，有些在黑市上标价数千美元。
普通用户如何避开坑的？直接记住官网域名当然最稳妥，很多人习惯先搜索。一个笨办法的，看搜索结果旁的“官方”标识，没有就别点。
下载后首次打开应用，若它弹出助记词输入框的，立刻卸载。真正的钱包只会在你创建新钱包或导入旧钱包时要求你填写助记词，但且不会在安装后立即索取。陈先生后来换了一部新手机，从官网重新下载。他说，“那次教训太贵了，现在我只信自己手动输入的网址”对于“tpwallet官网下载”这个搜索词，搜索平台也该承担起审核责任，不要让广告位成了钓鱼者的提款机。
