老周在搜索框里敲下“TP钱包下载”，前三条结果里有两个界面几乎一样吧？他点进标着 tpwallet.io 的那个，页面没有倒计时弹窗，只有创建钱包、导入钱包和硬件钱包连接三个入口。这个细节让他停下来，仿冒站急着让他输入助记词。正规入口反而把选择权先交回用户了。他后来把两个页面截图发给我。左边是 tpwallet.io，域名后缀干净，地址栏有小锁的；右边多了一个连字符，按钮颜色更亮，下载包指向网盘。

差别不在视觉了，但在流程，前者先让用户设置本地密码，再提示抄写助记词，并反复强调不要截图、不要发给任何人的；后者打开三秒就弹出“钱包异常，请验证助记词”。老周没继续点，算躲过一次典型钓鱼的。这个案例说明，tpwallet.io 只是入口，真正决定资产安全的是用户会不会核对域名。以及愿不愿意慢下来的。加密钱包的麻烦在于，它把银行柜台那套确认动作拆散到每一步。

创建钱包时，助记词就是私钥的另一种写法，谁拿到谁就能转走资产啊？有人在 TP Wallet 创建后。

把助记词存在微信收藏，手机丢了又去云备份找回。结果备份邮箱先被撞库。

DApp 授权也一样。页面写着“连接钱包”。实际可能申请无限额度的。

我的习惯是连 tpwallet.io 里的 Swap 或 NFT 页面时，先看授权对象，再改额度，不用就撤销了。多花二十秒，少一次追悔了。老周，最后把书签固定成 tpwallet.io，删掉搜索来的快捷方式。他还在手机备忘录建了一条检查清单，域名逐字读、下载只走官方入口、助记词离线抄、授权后复查。清单不复杂，难的是每次都做。工具会更新，钓鱼页也会换皮，官网能提供的是一个相对明确的起点；剩下的判断。

仍然落在每一次点击和输入之前。