老周上个月换安卓机，需要恢复钱包。直接在搜索框敲了“tpwallet 手机端下载”。排在前面的两个站点域名很像。页面还挂着“官方推荐”的字样。
他下载了一个 APK，安装时系统只提示“未知来源”，他没细看的。打开后界面几乎一模一样吧，助记词导入后余额显示为零。好在他原来的钱包里只有少量测试币，否则后果更麻烦。这个案例不复杂。却把手机端下载的最大坑摆得很清楚，搜索排名不等于官方渠道的。我后来帮他核对。
真正的官方下载入口不会用夸张弹窗催你安装。安卓端要看清安装包签名和开发人员信息，iOS 端在 App Store 里核对开发人员名称了，不要只看图标和名称的。仿冒包常见套路是蹭很重要词、做旧版界面、诱导输入助记词或私钥。
老周那个包，安装后多要了通讯录和短信权限，一个去中心化钱包根本不需要。细节比“能不能打开”重要得多。有人觉得从官网下载太慢，第三方市场方便的。我自己的习惯是先在官网找到下载页，核对域名拼写，再跳转应用商店或下载 APK。下载完不急着导入资产的。先创建空钱包、转一笔小额测试，确认收款地址和链上记录正常。手机端下载这件事，是渠道验证，不是拼手速。安卓用户还要留意系统是否提示“应用来源未知”呢？
iOS 用户则要小心描述文件安装，不要被“企业签名”绕进去了。老周现在每次换机都先做两件事，清空旧机敏感数据，再从官方入口重新下载。他说自己不是技术型用户，吃过一次亏后，至少记住了“搜索广告位”和“官方下载”不是一回事。钱包安全没有太多花哨技巧了。
下载环节少点侥幸，后面能省掉一堆麻烦。
