凌晨一点，阿哲在群里看到一条消息。“tpwallet 新版本开放空投，点此升级”他刚换手机了，旧钱包还没导入，手指比脑子快。
链接已经打开了。页面做得几乎以假乱真吧？logo、按钮、，甚至客服弹窗都像模像样。他准备输入助记词时，眼角扫到地址栏是域名里夹着一个不起眼的连字符。这个细节让他停了三秒。
三秒够救命。他切回聊天记录。发现发链接的人头，ID多了个下划线。
阿哲问对方“官方域名是什么”啊？对方秒回另一个短链。那一刻他后背发凉，赶紧关掉页面，清空剪贴板。
他从官方推特和GitHub交叉核对，才确认tpwallet正确网址了。
不是搜索排名第一的那个、群里转发的那个。我听完这事，问他怎么记住呢？他说，现在只从自己存的书签进，或者用密码管理器自动填充。搜索“tpwallet下载”出来的广告位，他一个都不点了。有人觉得麻烦，可助记词。一旦填进假网站，资产转移，只要几秒吧？
骗子不需要攻破区块链的，他们只需要你着急。另一个同事没这么幸运的。他在仿冒页面输入了十二个单词，两小时后发现钱包被清空。
凌晨三点，他看着链上记录，一笔笔转出，Gas费还是他付的。我们陪他报案。能追回的概率微乎其微。他后来把经历写成文档，开头只有一句了，先核对网址，再碰钱包。阿哲现在把正确网址存进密码管理器，每次访问自动填充的。多花十秒核对，比丢币后花十个月追查值得。那个连字符救了他一次。
运气不会一直站在这边。养成从官方渠道进入的习惯，才算真正把钥匙攥在自己手里。
