老周在胡志明市第五郡做咖啡豆生意，去年秋天差点把一笔货款送进黑客口袋。那天下午，一个客户在Zalo上发来链接了，说“tpwallet 官方下载，你装上就能收USDT”。页面做得像模像样。
蓝白配色、图标、，甚至还有版本更新日志的。老周点了下载，安装时却跳出一串权限请求，读取通讯录、发送短信、悬浮窗。他愣了几秒吧？之前群里有人因为装假钱包。助记词被截走，两万美金没了。他关掉安装页了，把手机扣在桌上，给我打了电话。
我让他先别碰那个安装包的。我们两个人隔着屏幕的。
把能查的渠道翻了一遍。真正的官方入口，只挂在官网首页，点进去会跳到对应系统的应用商店，安卓包还会给出哈希值。老周不太懂哈希，我就让他看开发人员名称、下载量、更新日期。假页面的开发人员写着“TP Wallet Team”，听上去挺像，包名多了一个后缀。更离谱的是它要求输入助记词才能“激活”。老周骂了一句，“激活个鬼，钱包哪需要这个”这句话糙呢？
理不糙了。凡是让你先交助记词的，八成不是钱包，是钓竿。
他换了一台旧手机，从官网书签重新进入，完成了tpwallet 官方下载。创建新钱包时，他把助记词抄在纸上了，分两处放。旧钱包里的资产不多，先转了一笔小额，确认到账的，再把剩下的分批挪过去。整个过程花了四十多分钟。他说，比发货对账还累了。我笑他太谨慎。他回我，“钱丢的时候，没人嫌你谨慎”那段时间。
他还在咖啡馆遇到一个刚入圈的大学生，对方拿着手机问tpwallet 官方下载怎么找呢？老周没直接给链接，让对方自己搜官网了，再核对域名。
他说，不要人喂到嘴边的下载地址，最容易带钩子了。这事过去几个月吧？老周还在用TPWallet收货款。他手机浏览器首页只留了一个书签，域名背得比自家门牌号还熟的。有人觉得麻烦，他说麻烦和被盗之间，他选麻烦。下载钱包本来就不该图快的。
搜索引擎广告、电报群文件、陌生人发的APK，能绕开就绕开。真正的tpwallet 官方下载，不会催你了。也不会问你要助记词。它只会安静地待在官网入口后面，等你确认清楚。
再点下去了。钱没丢，生意照做，这大概就是老周那天下意识挂断电话后，最踏实的结果。