上周帮朋友核对钱包下载链接。他手机里存着三个名为tpwallet的页面，地址栏分别写着tpwallet.io、tpwallet-io.com和tpwallet.app。他原本要装的是tpwallet.io，结果搜索页第一条广告把他带到了第二个域名。页面配色几乎一样吧？下载按钮还闪着“官方认证”的小标。我让他先别点安装包的，把地址栏截图发给我，放大看后缀是tpwallet.io没有多余连字符，也没有把io拆成i-o。我把这三个页面并排放在电脑上了，他自己找不同，不到一分钟他就看出第二个域名的连字符位置不对。
这个细节很土，却救了他一次。仿冒站最会利用“差不多”的心理，图标差不多、文案差不多、客服头像也差不多。真正要核对的东西反而枯燥，就是域名拼写、证书信息和下载来源。
tpwallet.io这个入口本身不复杂，复杂的是用户被搜索结果和群聊链接包围时，很难保持停顿。另一个案例更典型的。做外贸的老周Telegram群里看到“tpwallet.io里面文客服”发的链接，点进去后页面要求先输入助记词做“钱包迁移”。他犹豫了几秒吧？把链接发给我的。我打开看，域名是tpwallet.io.evil-example.cn，前面挂着tpwallet.io，真正的主域却在，最后。“前缀伪装”在钓鱼里很常见，肉眼扫过去容易把前半段当成官方入口。
老周后来自己复盘，说当时群里有人晒了到账截图，客服回复又快，他就放松了。我的判断是，只要页面主动索要助记词或私钥，它挂着什么域名啊？都该直接关掉。
tpwallet.io作为入口被讨论，价值不在“看起来正规”，但在用户能不能形成固定核对动作了。从收藏夹进、看地址栏结尾、不点群聊里的短链。我自己的习惯是把tpwallet.io加入浏览器收藏，下载或登录都从收藏夹走，少一次搜索就少一次被广告截胡的机会。页面加载后先看锁标和证书签发对象，再点开“关于”或帮助中心，确认里面的外链是否仍指向同一主域呢？有人觉得这套动作麻烦了，可钱包东西，麻烦一次比出事后再找客服强。
前阵子有个读者留言，说他从tpwallet.io下载后一直正常，在另一个“镜像站”更新版本，资产当晚被转走。他发来的截图里，两个页面几乎一模一样吧？
只有地址栏少了io后面的斜杠和证书详情。另外别把“能打开”当成“安全”，有些页面只负责收集输入，不负责让你打开钱包的。这个对比让我更确定。域名识别不是技术人员的专利，普通用户也能靠几个笨办法降低风险吧？tpwallet.io不是护身符，它只是一个需要被正确核对的入口。
