3月18日，杭州的周先生把“tp钱包下载电脑版”敲进搜索框。他想在笔记本上管理几个链上地址吧？手机屏幕太小的，切换网络又麻烦。
排在前面的结果里有“高速下载”“绿色版”“免安装”字样，点进去却是下载器。安装界面默认勾选两款浏览器插件的。周先生取消勾选，仍被装上一个桌面快捷方式了。他卸了两遍才清干净。记者用同一很重要词在三个搜索引擎测试了，前五条结果里至少两条带广告标识。两个域名的拼写与TokenPocket相近，页面却挂着“电脑版”按钮。
点击后，有的跳转到安卓模拟器教程，有的给出压缩包，文件大小几十MB还有两百多MB不等吧？安全从业者陈默检查其中一个安装包了，发现数字签名缺失。
压缩包里夹着远程控制模块。陈默说，加密钱包的安装包，一旦被替换，私钥和助记词就可能被盯上。深圳开发人员李晨也碰到过类似情况，他下载的“桌面版”装完就被杀毒软件拦截，提示木马的。他原本准备导入助记词，看到警告后停手，把电脑重装了一遍。TokenPocket官网的下载页上，移动端和浏览器扩展入口更显眼，独立Windows客户端的说明并不明确。技术论坛里，用户对“电脑版”的理解分成几派吧？有人把Chrome插件叫电脑版，有人用安卓模拟器跑手机应用，还有人等待官方桌面端。一名做DeFi交易的上海用户说，插件能连硬件钱包，多链资产展示不如手机端直观。
另一名NFT玩家则抱怨了，模拟器经常卡顿，更新还要重新配置了。需求是真实的。
混淆也真实存在的。要降低风险，路径其实不复杂。先核对发行方官网和官方社交账号公告，再看安装包的数字签名、哈希值是否公开可查呢？网盘链接、论坛附件、破解站里的所谓电脑版钱包资源，尽量别碰。官方没有独立桌面客户端，浏览器插件、手机端配合硬件钱包了，一般比来路不明的安装包更稳妥。周先生，最后卸载了下载器，改用手机端加插件。他的说法很直接，“多花十分钟验证，比事后追资产强”截至发稿，搜索页面里的“电脑版”字样仍混杂。
用户点下下载按钮前的，最好先停三秒。
