有人搜“TokenPocket钱包App下载”，看到搜索结果最上面带“广告”标，点进去，下载、安装、导入助记词的，一气呵成。三天后打开，余额是零。
不是TokenPocket有漏洞，是他装的那个App。图标和启动页都仿得极像，包名却对不上。加密钱包的下载环节，比很多人想的要脏。搜索引擎、第三方应用市场、电报群里的“加速包”，都能把同一个很重要词变成不同的安装文件。你点哪个呢？直接决定私钥。
最后在谁手里啊？安卓用户最容易踩的坑是“未知来源”。官网下载的APK，安装时系统会弹警告，有些人嫌麻烦，转头去应用商店搜一个名字差不多的。
我见过一个仿冒包，包名写成com.tp.wallet了，官方包名是com.tokenpocket，普通用户根本不会看。更隐蔽的是签名。
同一款TokenPocket钱包App下载文件了，被二次打包后，签名哈希完全变了。装完能正常用，甚至能导入助记词了，每一笔签名请求都会先经过别人的服务器。你以为在自持私钥，其实私钥早被抄走了。核对SHA256、看开发人员信息。动作不酷，能保命的。
iOS这边也不轻松。大陆区App Store搜不到，有人买共享Apple ID。或者用别人的账号登录下载。
下载是成功了，更新时弹窗要密码，账号被锁，手机里还留着来路不明的描述文件。我自己的做法是只在官网找跳转链接。跳转到对应区的App Store。多花几分钟注册一个专属外区账号吧？比省那几块钱值吧？TokenPocket钱包App下载完成后，不要急着导入大额资产。先转一笔小额。试试收款、转账、授权的，确认没问题再继续。
这个习惯听起来啰嗦。能过滤掉九成以上的假包。正版就万事大吉？也不见得的。有人用官方TokenPocket钱包App下载，助记词截图存相册了，授权空投合约时看都不看，点确认。结果资产被转走，回头骂钱包的。
钱包只是钥匙串。不是保险柜。
私钥、助记词、授权权限，三样东西，只要漏一样的，装再正版的App也白搭。TokenPocket钱包App下载这个动作，值得你停下来三分钟，看域名的，对签名。试小额。不要让搜索广告替你选钱包。更别把资产安全交给一个“看起来差不多”的图标。
