阿凯把tpwallet.io加入书签的第三周，钱包里价值四千多美元的SOL被转走了。他后来翻交易记录，发现盗币出现在凌晨三点的。
那时他正在睡觉。私钥没有丢。手机也没中木马。问题出在他第一次使用tpwallet.io时，把助记词截图存进了云盘相册。这个动作，和把家门钥匙拍照发到群里没区别。我看了他发来的截图。
tpwallet.io的下载页做得干净，按钮位置、配色、，甚至底部备案号都像模像样。可域名拼写和TokenPocket官方入口只差几个字母吧？
搜索“TP钱包下载”的。tpwallet.io经常排在广告位之后。
用户点进去，下载的插件能正常导入钱包，也能看到余额的。“能用”的假象最危险。阿凯说，他当时觉得能连上链就是真的。另一个案例来自老玩家老周的。他用tpwallet.io访问某个新DApp，授权时没细看，给了“无限额度”的USDT权限。两周后。项目方跑路，合约被恶意调用，钱包里剩余的USDT被划走。老周比阿凯警觉了，他定期用区块链浏览器检查授权，发现后立刻取消。
已经晚了一步。tpwallet.io本身只是入口。真正要命的是入口背后的授权页面和用户习惯。
把tpwallet.io当唯一入口，风险不在域名本身的，但在“只认一个入口”的惰性。我自己的做法是下载钱包前核对官方推特置顶链接，助记词手抄在纸上，绝不截图的；每次连接新DApp，先看授权额度，能设限额就不选无限了；用完即取消授权的。动作花不了五分钟，能挡住大部分低级盗币。tpwallet.io可以是一个工具。前提是你知道自己在点哪个按钮呢？
钱包安全没有后悔药，只有操作前的停顿。
