上周同事阿哲在群里发来一张截图，一个弹窗写着“tpwallet升级下载”，按钮做得和官方更新页几乎一样吧？他差点就点了，幸好发现网址多了一个连字符。
这类仿冒页面专盯着急升级的人。特别的在新版本刚发布那几天吧？真正的tpwallet升级下载。入口只有两条，官网和官方应用商店。官网域名要手动输入，不要从聊天记录、短信或陌生二维码跳转了。下载前看文件详情，安卓包名、iOS开发人员名称、版本号是否对得上呢？一个小细节，官方更新说明会写清修复了哪些漏洞呢？仿冒页一般只有“立即升级”四个字。
升级前把助记词抄在纸上，不要截图，不要存网盘的。有人觉得老版本还能用，拖着不升，结果旧接口关闭后转账卡住。我自己的习惯是先断网打开TPWallet，确认资产列表正常，再联网执行更新。升级完成后，先小额转一笔测试了。确认地址簿和链切换没乱，再处理大额资产。新版本常见变化包括支持新链、优化Gas估算、修复签名弹窗了。
遇到“tpwallet升级下载”提示却要求输入助记词了。直接关掉。官方升级过程不会索要助记词、私钥或短信验证码。
若已误装仿冒应用，立刻断网的，用备用设备转移资产。并检查授权记录。有人问，应用商店自动更新算不算安全了。
算。前提是商店账号没被劫持、开发人员没下架。
更稳妥的做法是每月手动核对一次版本号。把官网加入书签。不要嫌麻烦，数字资产的安全一般就藏在小动作里。
