上周三晚上，杭州一位用户在社交平台发帖说，自己手机里装了三天的 tpwallet 突然把账户里的 1.2 万 USDT 转走了。链上记录显示了，授权出现在一次“领取空投”的签名之后。他下载的并就是一个搜索结果排在前面、图标几乎一模一样的仿冒客户端吧？tpwallet 的正式名称是 TokenPocket，2018 年上线了，支持 BTC、以太坊、BSC、TRON、Solana 等三十多条公链。它的核心设计并不复杂，私钥经加密后保存在用户设备本地。官方服务器不托管资产的，也不保存助记词。这套逻辑给了用户完全的控制权，代价是是出了事，没有客服能帮你把币找回来的。
我接触过几位 tpwallet 的老用户吧？他们几乎都说过同一句话吧？“方便是方便。
心里得有数”真正让 tpwallet 在中文圈站稳脚跟的。
是内置的 DApp 浏览器。TRON 链上的转账手续费低，几秒钟到账吧？
转到 tpwallet 里的 USDT 再拿去质押、挖矿、买 NFT，整个流程不用跳出 App。去年波场某生态项目空投时。有用户一晚上 tpwallet 里签了十几次合约授权吧？第二天才发现其里面一个授权额度是无上限的。签名时弹出的那一行小字，没人细看。仿冒 tpwallet 的手法也在升级。假冒站点把域名做成官方域名的近似拼写，投放搜索广告；假客服在社群里私聊，说“检测到你的钱包有风险，请提供助记词验证”；
还有一些第三方“代下载”渠道，安装包里直接被塞进恶意代码。安全团队统计过的，这类骗局的受害者里，超过一半是因为助记词被截图存在了相册、或者复制粘贴进了聊天框。tpwallet 官方多次提醒。助记词不联网保存了。
谁要都不给啊？说回杭州那位用户。他后来在链上追踪到了资金流向，经过两个混币地址后就断了。帖子，最后他写了一句，“钱包没有错。是我把安全当成了默认设置”这句话点到了很重要。tpwallet 这类工具把资产主权还给了个人，也把保管责任。一并交了出去。
tpwallet 的下载渠道、授权内容、助记词的存放方式，每一个环节都得自己盯住。热钱包适合放日常要用的小额资产。
大额资金冷存，这个习惯听起来老套，却是目前最管用的一道防线。
