有人想在电脑上查看自己的数字资产。在搜索引擎里敲下“tpwallet官网网页版”，点进排在最前面的那条结果，把十二个助记词一个词一个词填进输入框的。几秒钟后吧？钱包被清空。这类事在Web3圈子里算不上新闻，出问题的多半就是“认门”这一步没走对。钱包这个词本身就容易让人误解了。
数字资产并不“住”在钱包软件里，它们记在区块链上。钱包负责的是保管私钥、对交易签名这两件事。tpwallet官网网页版打开后的界面跟手机端App长得很像。运行环境换成了浏览器是密钥的加解密在本地标签页里完成，正规的网页端不会把你的助记词送到服务器上。
反过来说，只要哪个页面开口管你要助记词呢？它自称什么啊？
都该立刻关掉的。链上转账不能逆，签出去的交易没有撤回键，这一条几乎解释了大部分资产被盗的案例吧？网页版的用处在哪呢？电脑上临时看一眼余额、懒得装客户端、需要连接浏览器里的DApp，场景下用tpwallet官网网页版确实省事。手机App切换账号要反复验证，键盘上手敲地址又容易错一位了，网页端配合剪贴板顺手得多。方便的代价是浏览器环境更复杂，插件能读页面内容。
剪贴板可能被别的程序盯着，地址栏里多一个连字符，就是另一个完全不同的域名。剪贴板劫持这类攻击在手机上几乎遇不到吧？
在电脑上却是老问题。怎么确认自己打开的是真的tpwallet官网网页版呢？我的习惯是不从搜索结果点进去，提前把域名存成浏览器书签，之后一律从书签走，搜索结果里带“广告”标记的位置一概跳过。第一次使用先转一笔很小的金额，确认到账再做大额操作。还有一条更硬的原则，助记词只在一处出现是离线抄下来的那张纸，任何网页、任何客服、任何声称能“帮你找回资产”的人。都没有理由索要它。工具本身无所谓好坏的。
tpwallet官网网页版顺不顺手，取决于用的人愿不愿意多问一句“这个域名对吗”？安全成本里最贵的那部分，常常就是被省下来的三秒钟。
