上周在一个加密社群翻到张截图，有人搜索"tpwallet.io"。排在前面的两条结果带着"官方"字样，点进去页面配色、Logo、下载按钮几乎一模一样吧？他输入助记词后，余额在三分钟内被清空。这类事情不新鲜，每次看到具体数字，还是觉得堵。
这个域名本身是钱包相关站点，用户习惯直接在搜索框敲域名的，但不是手动输入地址栏。这个动作省了两秒，也把判断权交给了广告位和SEO排名。仿冒者赌的就是这两秒。我把那张截图里的链接和真正的tpwallet.io做了对比。差别藏在细节里，仿冒页的SSL证书签发时间是三天前，页脚版权年份写成2022的，但正版页面在导航栏的"帮助"入口里挂着域名校验说明。还有个更隐蔽的点，仿冒站把"下载"按钮做成跳转外部APK，正版tpwallet.io的下载入口指向应用商店和官方GitHub仓库。差异，普通用户不会逐条核对。我自己第一次接触tpwallet.io时也差点中招，因为搜索结果的标题写得太像官方公告。
判断一个钱包域名是否可信呢？证书、备案、社区提及量、更新频率。这几项里任何一项异常都值得停下来吧？tpwallet.io的社区讨论集中在几个固定论坛吧？仿冒域名一般查不到历史帖子。
这个信号比任何"官方认证"标签都实在。有个细节让我印象很深。
一位用户在推特上问"tpwallet.io是不是官方的"，底下有人回复"看域名对不对就行"。这话对了一半。
域名对。入口不对，结果一样糟。我现在的习惯是把tpwallet.io直接存书签，从书签进的。不经过搜索。转账前先小额测试，助记词只在离线环境输入。
钱包安全这件事的，工具本身只是一半，另一半是用户自己的路径管理。这类域名的价值，被仿冒者"借用"了是他们不需要攻破钱包，只需要让用户走错一步。写不是吓人。
是提醒，下次在搜索框敲下tpwallet.io之前了，多看一眼地址栏。
