钱包 App 真假怎么分辨：安装来源、开发者名与官网地址，附假钱包偷助记词的手法

假钱包 App 用起来和真的几乎没区别：能创建钱包，能显示余额，能收款，界面和图标都照着正版做。它只在一处动手脚——你输入助记词、或者让它帮你生成助记词的那一刻，把这串词悄悄发到别人手里。之后你钱包里的东西，对方想什么时候转走，就什么时候转走。

所以生成或导入助记词之前，先对下面那张表：界面辨不出真假，能辨的是安装来源、开发者名和官网地址。

假钱包是怎么把助记词拿走的

朋友发链接下载的钱包，用了半年都没事，也说明不了它是真的。假钱包有一种做法是等：助记词早就传出去了，对方不急着动手，等你钱包里的钱攒多了再一次转空。你感觉「一直没事」，恰恰是它想要的样子。

它们通常从这几条路送到你手里：

• 搜索结果里的仿冒官网。 你搜钱包的名字，最上面几条可能是广告，网址和正版差一两个字母、多一个连字符，或者换了个后缀。页面做得一模一样，下载按钮给的是改过的安装包。
• 群里、私聊里发的安装包。 说法五花八门：「中文版」「新版」「专属版」「内部版」「国内打不开官网，用这个」。正版钱包没有这种只在群里流通的版本。
• 假客服让你「修复」。 你在群里问了一句转账失败，马上有人私聊，自称官方客服，让你装一个「修复工具」，或者去某个网页「重新导入钱包」。ethereum.org 的安全页提醒过，正规的服务、客服和网站，都不会找你要助记词、私钥或密码。
• 仿冒的更新提示。 有的假钱包会弹出「版本过旧」「同步失败，请重新输入助记词」一类的提示，你一输，就交出去了。

在假钱包里「新建」的钱包，一样不安全。 很多人以为只有导入旧钱包才会泄露，新建的总没问题。可助记词是假钱包替你生成的，它生成的那一刻就能记下来。你拿这个新地址收的每一笔钱，都在别人眼皮底下。

装之前：安装来源、开发者名、官网地址逐一对

按下面这张表，一样一样对。任一样对不上，就别装。

几处容易卡住的地方：

应用商店里也可能有仿冒品。 App Store 和 Google Play 审核过的应用，也偶尔会有冒名的漏网之鱼，名字和图标跟正版一样。所以只看「是从商店装的」不够，开发者名那一栏必须和官网公布的对上。怎么对，钱包官方一般会写。比如 TokenPocket 的帮助中心就专门写过一篇，列了它的官网域名、App Store 上的开发者名，还提醒安卓用户可以核对安装包的校验值。

安卓从官网下载时。 有的钱包官网会公布安装包的校验值（常见的是 SHA256）。电脑或手机上算一下你下载的文件，和官网公布的一致再装；不一致，删掉。不会算也没关系，那就只从 Google Play 装。

电脑上的浏览器插件钱包。 道理一样，只是地方换成了浏览器的扩展商店。扩展商店里同样有冒名的钱包插件，名字、图标、截图都照抄。装之前看发布者是谁，再从钱包官网上找它给出的插件链接，两边对上了再装。从搜索结果点进某个扩展页就直接装，是最容易中招的装法。

官网的网址怎么存。 核对过一次的官网，存成书签，以后都从书签进。别每次都靠搜索，搜索结果的排序你控制不了。

一个钱包官网上找不到开发者信息，应用商店里也搜不到，只能靠别人发安装包来装，就别拿它放钱，不管对方说它多好用。

已经装了的，这样复查

我手机里的钱包是很久以前装的，现在怎么判断它是不是正版？

按顺序做：

1. 回想这个 App 是从哪里装的。从 App Store 或 Google Play 装的，打开商店里它的详情页，看开发者名；从别处装的，直接记为「来源存疑」。
2. 按上一节的办法，找到这个钱包的官网，看它公布的开发者名和官方下载渠道。
3. 在钱包 App 里找「关于」一类的页面，看版本号。和官网、应用商店里的最新版本差得离谱，或者根本找不到这一页，也记为存疑。

三步都对得上，可以继续用。有一步存疑，就当它是假的处理。

「当它是假的」具体怎么做：

• 从核对过的渠道重新装一个正版钱包。
• 在正版钱包里新建一个钱包，生成一组新的助记词，抄在纸上，放好。
• 把旧钱包里的资产转到这个新地址。转 USDT 需要一点 TRX 或 ETH 付手续费，旧钱包里没有的话，先转一点进去，再立刻转出。
• 旧的助记词作废，别再导入到哪里去。

注意第二步：不要把旧助记词导入正版钱包继续用。 如果旧 App 是假的，那串助记词已经在别人手里，换个 App 打开它，钱包还是别人也能开。要换的是助记词，光换 App 不够。

如果你输过助记词之后，已经发现钱少了，那就别再往旧地址转 TRX 或 ETH 救急——对方很可能盯着这个地址，你转进去的手续费会被先一步转走。这时候能做的，是把还没被动的其他资产（如果它们在别的钱包里）尽快挪开，保存好这个 App 的来源、安装包、聊天记录，去当地报案。