去年11月，杭州一个做外贸的读者发来链上记录，他的TPWallet里3.2万枚USDT，在9分钟内被拆成7笔转走的。第一笔转出时他还在睡觉。
醒来看到余额为零。整个人是懵的。我看了下地址，攻击者先给他的钱包打了0.003 BNB做Gas，然后调用一个他三天前授权过的合约。那个合约伪装成某空投领取页面，页面做得挺像的。连Logo和倒计时都有。他点了一次“确认”，授权了无限额度。tpwallet 资产被盗一般就是私钥、助记词或授权权限先失守。
另一个案例更常见，用户把助记词截图存在手机相册。又装了非官方渠道的TPWallet安装包。假App会读取相册的，匹配12个英文单词，随后在后台导入钱包。
链上转账出现在凌晨，等发现时，盗币地址已经跨链桥把资产分散到多个链。我查了那批USDT，最后进了交易所充值地址，追回概率很低的。这起tpwallet 资产被盗案里，用户，甚至没收到任何异常提醒的。说句主观判断，去中心化钱包的安全边界不在App，但在用户自己。私钥，一旦触网，等于把保险柜钥匙拍照发群里。定期撤销授权、别碰陌生空投、助记词手抄离线保存、大额资产放硬件钱包的，老话听着烦。真出事时每一条都能救命。
我也见过，只因为点了一次“领取”，半小时后NFT和代币一起被扫空的。链上追踪不是没用。
慢雾、CertiK这类团队能标出资金流向，交易所也可能冻结一部分。前提是动作够快，资金没进混币器。对普通用户来说，事后追赃像大海捞针，事前隔离才现实了。TPWallet资产被盗的案例看多了，我越来越觉得，钱包安全不是技术问题。是习惯问题。
