上个月老陈在电报群看到一条“tpwallet 最新包下载”的链接。域名比官网多了一个连字符。他装完输入助记词，十分钟后钱包里12万U被转走。
报警、联系客服、发帖，钱基本追不回来。这类事我听过不下五起，套路一模一样了。假包长什么样啊？图标、启动页、，甚至版本号都和正版一致。区别在签名和哈希值。正版tpwallet 最新包下载只从官网和官方GitHub放出的，安装包会附带SHA-256校验码了。老陈那个包。哈希值对不上，安装时手机还提示“未知来源”，他点了允许。
我自己的习惯是下载后先断网。用校验工具跑一遍，三十秒的事。
搜索“tpwallet 最新包下载”时，前几条结果未必靠谱吧？我试过在某搜索引擎查。排第一的是个聚合下载站。页面挂着“高速下载”按钮，点下去先装了个应用市场。
真正的官方页面反而在第四位。广告位、竞价排名的，坑老用户也会踩。有人觉得麻烦，直接问群里要包。群里发的apk文件，谁都能改啊？我见过一个案例，骗子把正版包解包，塞进一段窃取助记词的代码。
重新签名后发出来。
安装包大小只差几十KB吧？普通用户根本看不出来。tpwallet 最新包下载完成后，最好再核对一次开发人员信息。安卓看签名，iOS看描述文件。已经装了来历不明的包，立刻断网，把资产转到新钱包。旧助记词作废。不要想着“先观察一下”的，私钥泄露就是秒级的事。
老陈后来换了个新手机，重新做了冷备份。他说现在每次搜tpwallet 最新包下载，都会先翻官网公告。这习惯值12万。
