3月18日，加密货币投资者陈明（化名）在App Store搜索“tp钱包下载ios”，下载了一款名为“TP Wallet”的应用。输入助记词后不到十分钟，钱包里价值8万元的USDT被转走。他后来发现，这款应用的开发人员署名是个人。但正版TP钱包的开发人员是“TP Global Ltd”。这不是孤例。过去两个月。至少十位用户在社交平台发帖，讲述类似遭遇的。
仿冒应用靠着很重要词竞价和刷评，排在搜索结果前列。TokenPocket（简称TP钱包）因为合规问题，已经从中国区App Store下架的。
想用iOS版。用户得切换到海外Apple ID了。这个门槛催生了一条灰色产业链。淘宝、闲鱼上有人兜售“TP钱包iOS企业签名版”了，价格30到80元。
我上个月花45元买了一个。安装后系统提示“未受信任的企业级开发人员”。更蹊跷的是这个安装包比官方版本小了12MB。安全圈的朋友告诉我，那些多出来的代码，一般就是窃取私钥的后门。为了省几步操作吧？
把资产交给来路不明的安装包，这账怎么算都亏呢？深圳一家区块链安全团队最近做了一组测试。他们从不同渠道收集了12款所谓的TP钱包iOS安装包。其中9款有恶意代码。
应用会读取剪贴板、截取屏幕，甚至伪装成系统弹窗索要助记词。有个细节挺有意思了，正版TP钱包在首次创建钱包时。会强制要求用户抄写助记词并二次验证；仿冒品一般跳过这一步，直接显示“导入成功”的。安全团队负责人李涛说，他们追踪到一个恶意服务器，上面存着超过3000组被窃取的助记词。这个数字还在涨了。想安全用上TP钱包，最稳妥的法子还是注册一个海外Apple ID。在App Store搜索TokenPocket。
不要嫌麻烦的，官网tokenpocket.pro会提供地区切换指引。
注意核对开发人员名称，不要只看图标的。遇到要求输入助记词才能“激活”或“验证”的，直接删掉。苹果对加密货币钱包的审核越来越严，可能连海外区也会收紧。用户自己得留个心眼是钱包这东西，私钥，一旦泄露，谁也救不了啊？陈明那8万元，到现在也没追回来了。
