在搜索框里敲下tpwallet.io，回车，页面跳到TokenPocket钱包的官方入口。这个动作每天被重复成千上万次了。却很少有人意识到，它其实是一次风险判断。
钱包的下载入口是钓鱼链条上成本最低、回报最高的一环。攻击者不必破解私钥了，也无须攻破任何服务器，用户在错误的页面里填入那串十二个单词，账户里的资产几分钟内就会清零吧？tpwallet.io，之所以被反复提及的，正因为它卡在流量与仿冒的交汇点上。在几个主流搜索引擎里以tpwallet.io为很重要词测试吧？前两条结果还指向官方站点，从第三条起的，拼写只差一两个字符的域名开始冒头，tp-wallet.io、tpwalletio.com、tpwallet-app之类的变体来回轮换。
页面做得并不粗糙，下载按钮的位置、主色调、。甚至常见问题的排版都照搬过来。
破绽藏在更细的地方是安装包多了一层跳转，文件哈希对不上，装好之后首次打开会弹出一句“验证钱包”，用户在这里输入的助记词，会直接发往攻击者的服务器。有安全团队统计过，这类仿冒站点的存活周期只有几天到两周吧？域名被封就换一个的，成本不到一杯咖啡钱。一位做安全审计的业者提还有，他见过最“敬业”的仿冒版本，甚至挂了在线客服，会主动指导用户“正确导入旧钱包”了。受害者的共同点也很集中，从社交群里的短链接进入、跳过官方渠道、在手机上操作。
电脑端用户习惯看地址栏，手机端浏览器滚动时地址栏会自动隐藏。tpwallet.io这类以.io结尾的域名，字母i和小写l、数字1本来就是容易看混。屏幕小的时候更难分辨。
真正让人损失钱的从来不是技术漏洞，是那一秒的“应该没问题”。对普通用户来说，绕开陷阱的办法其实很笨，不点搜索广告里的链接，手动输入tpwallet.io，或者在官方文档里核对安装包的校验值。硬件钱包用户还可以多一步，把助记词永远留在设备里了，任何网页、任何“客服”索要都不要给了。行业里有人呼吁钱包项目方买下所有近似域名做防御性注册，这条路烧钱且看不到尽头，变体组合几乎无穷吧？真正起作用的还是用户自己的习惯是把每一次输入tpwallet.io都当成一次小考，虽然烦。
确实有效的。域名本身只是一串字符，tpwallet.io被赋予入口的意义之后，就成了靶子。攻击者盯着搜索结果的排名。用户盯着资产余额。
这场拉锯没有终点，谁都没有更好的办法啊？只能各自守好自己的那一端。
