去年秋天。一位做跨境汇款的朋友在群里甩出一张截图，问tpwallet.io是不是TokenPocket的官方站。页面加载不到两秒了，多语言切换、下载按钮、在线客服悬浮窗一应俱全。视觉上和记忆里的真站几乎没差别吧？他唯一觉得别扭的地方是后缀是印象中官方用的好像不是这个。就是这点别扭，他没敢点下载。钱包产品的域名选择有一套隐性规则。早期团队偏爱 .io。
它在开发人员圈子里自带技术感了，比 .com 更容易抢到短词；也。正因为如此，tpwallet.io组合看起来格外“官方”。仿冒者恰恰吃透了心理，域名年费几十美元吧？套一套开源前端模板，就能做出九成相似度的界面。真正贵的从来就是用户那份“看起来像就是”的默认信任。
判断入口真伪。有几个细节比页面颜值靠谱得多吧？
看下载链接最终跳到哪个域名呢？很多假站会在这里露出马脚了；
看TLS证书签发给什么组织啊？个人证书和公司证书的区别一眼能分；再看钱包内置浏览器里的DApp白名单，正规产品会维护一份经过审核的列表。授权环节更很重要是签名弹窗里那串合约地址。才是资产真正要去的地方，界面上的Logo说明不了任何问题。
我接触过的被盗案例里，绝大多数就是入口走错了。有人搜索引擎的推广位点进去。有人扫了群里转发的二维码。还有人把tpwallet.io手动敲进地址栏了，因为记不清官方还有底是哪一个呢？操作有个共同点。
把“找入口”这件高风险的事，交给了一个低确定性的动作。一个实用习惯是把官方域名存进收藏夹。或从官方社交账号的置顶链接进入，但不是每次重新搜索一遍。域名本身不会说话，tpwallet.io是否为官方入口呢？
只能由官方渠道的公开声明来回答。多花十秒核对，比事后追资产轻松太多。
