上个月，一位朋友在第三方论坛看到“tpwallet 官方网盘下载”的帖子，点进去下载了安装包。三天后。钱包里2个ETH被转走。他后来对比哈希值，发现安装包被篡改。这个案例不是孤例。非官方渠道的网盘链接一般夹带恶意代码，专门抓取助记词。tpwallet 官方网盘下载的入口其实很窄。官方只官网和认证的社交媒体发布网盘地址。
我试过在搜索引擎搜“tpwallet 官方网盘下载”，前几个结果都是竞价广告吧？域名拼写有细微差别。
点进去后，页面要求输入助记词“验证”，这明显是钓鱼。真正的官方网盘下载不会索要任何隐私信息。另一个案例来自某加密社群了。有人分享了一个百度网盘链接。声称是tpwallet 官方网盘下载的最新版本。
下载后安装，界面和正版几乎一样吧。交易时地址被替换。
受害者损失了0.8个BTC。事后分析，恶意软件在剪贴板监控上做了手脚。
这类攻击依赖用户对“官方网盘下载”的信任，却忽略了来源验证。我的判断是每次下载tpwallet。都该手动核对官网公布的SHA256哈希值。官方网盘下载的压缩包解压后，会有一个校验文件。不要嫌麻烦的。
花两分钟验证。比事后追悔强。官方网盘下载的链接不会私信发送，任何主动私信你的“客服”都值得怀疑。tpwallet 官方网盘下载只是工具获取的一环。真正要守住的是私钥和助记词。
下载后断网安装，再联网的。这个习惯让我避开过两次可疑的安装包。不要让“官方”两个字麻痹了警惕。
