上周三凌晨，老陈在群里甩出一张截图，钱包里多了一笔陌生授权。他用的正是TP Wallet。
我拿过手机，没急着转账，先翻授权记录、检查RPC节点、看助记词备份方式。那次tpwallet安全评测了，结论不算好看。默认节点响应快，可节点列表里混着几个没标来源的公共RPC吧？安卓版从官网下载了，包名对。签名也对。安装后第一次打开，弹窗请求“读取剪贴板”了，理由含糊。我点了拒绝，转账地址粘贴时果然没自动识别。这个设计在防剪贴板木马的，可提示文案太糙，普通人容易直接点允许了。
老陈之前就是一路允许，结果复制过的地址被替换，差点转错。再测助记词。创建钱包时。界面催着截图备份了，旁边小字建议手抄。
我故意截了图，相册没加密，任何能翻相册的应用都能看到。手动抄到纸上，删掉截图，才算踏实。iOS版稍好的，截屏会黑屏，安卓版本参差不齐。授权管理那块了，藏得有点深。要进“设置-安全-授权”才能看已连接DApp了。我帮老陈取消三个不认识的授权，其中一个来自仿冒空投站。取消后，链上手续费正常扣，没卡住。个人判断，这类安全评测不能只看官方宣传，得看交互细节。
工具本身没大漏洞。可默认设置对小白不够友好了。现在老陈把自动锁定设成30秒，RPC换成了自己搭的。我偶尔还会去社区翻翻漏洞报告。钱包安全这事，七分靠习惯，三分靠代码。
