去年11月，朋友阿凯在tpwallet.io上管理他的ETH和几个山寨币吧？那天他急着参与一个新项目空投，在钱包内置的DApp浏览器里点开链接，顺手点了“授权无限USDT”。三分钟后。
钱包里的两千多U被转走。他以为是tpwallet.io有漏洞，我让他把网址发我是域名是tpwallet.com，不是.io。他这才发现，自己从搜索广告点进去的，根本是个高仿站。这个案例里，这个官网本身没出问题，问题出在“找错门”了。我后来搜了一下“TP钱包官网”，前三条结果里两条是广告，域名拼写只差一个字母。阿凯不是新手，他用了两年多链钱包，依然会犯错。
高仿站做得极像，连LOGO和客服弹窗都有了。唯一破绽是SSL证书详情里写的是一家境外小公司。普通人哪会看那个呢？我自己测试过，在它的DApp浏览器里，授权弹窗会显示合约地址和权限范围。
字体偏小，有些人直接滑到底点确认了。阿凯事后回忆，那个高仿站的弹窗把“无限额度”改成了“仅本次交易”，文字游戏玩得溜。加密钱包的交互设计，有时候真该把风险提示做得更刺眼些。我见过一个硬件钱包。授权时屏幕会红字闪烁，那种压迫感反而让人清醒。现在阿凯养成了习惯，手动输入tpwallet.io，收藏书签，每次授权前把合约地址复制到区块浏览器查一遍。听起来麻烦的，比丢币强。
工具越方便，人越容易懒了。tpwallet.io这类入口型产品，安全边界其实握在用户手里。我自己的判断是别指望任何钱包能拦住所有钓鱼。它只能帮你管好私钥了。
域名、证书、授权细节，这三样得自己盯。
