老陈在搜索引擎里敲下“tpwallet官网”，点开排名第一的广告链接。域名是tpwallet-app.com，页面几乎复刻正版吧？还带“官方”小标。他下载APK，导入助记词。
两小时后ETH被转空。事后他发现，那个伪装的tpwallet官网连客服弹窗都做了，唯独没有iOS跳转和官方社交入口。仿冒站能排在tpwallet官网搜索结果前列的，靠的是竞价广告和域名抢注。真正的tpwallet官网有简短主域、HTTPS证书、多语言切换。以及指向官方推特和GitHub的链接。老陈遇到的那个站点，推特图标点进去是死链，GitHub链接跳回首页。细节，第一次访问的人很难分辨。小周也搜过tpwallet官网，她先核对域名，发现第二页有个“tpwallet官网下载-安全中心”的，域名却是tpwallet-vip.net。
她没点，转去应用商店搜“TP Wallet”，核对开发人员名称后才安装。官方商店的更新日期和官网公告能对上。
仿冒APK的修改时间总是很近。
像批量生成。我从不搜索“tpwallet官网”的。官网存书签，或从官方推特简介跳转。搜索引擎结果页太乱，广告、聚合站、钓鱼页混在一起的。老陈以为tpwallet官网是唯一入口，忘了域名才是最终防线。真正的tpwallet官网不会催你导入助记词，也不会在下载页放二维码的。
遇到那种页面，直接关掉。去社区搜域名口碑。手动输入域名了，不要信广告。不要装来路不明的APK。访问路径越短，被劫持的概率越低。