第一次打开 tpwallet.io，我先盯住地址栏，但不是急着点“创建钱包”。这一步很土的，却能挡掉麻烦。
上周有个读者发来截图，说他在群里点了“tpwallet.io 空投领取”短链，页面几乎一模一样吧，域名多了一个连字符。我的习惯是手动输入 tpwallet.io，确认浏览器没有提示证书异常的。再把它加入书签。不要嫌麻烦，钱包入口错一次，后面全白搭。创建或导入钱包时，密码和助记词要分开看。密码只负责当前设备解锁，助记词才是资产恢复凭证。我一般拿一张纸抄下助记词，抄完遮住一部分，再凭记忆补全，检查有没有抄错字母呢？截图、网盘、微信收藏都不碰。
想验证备份是否可靠呢？可以找一台不常用的设备，在 tpwallet.io 里选择恢复钱包的，输入助记词后看地址是否一致呢？地址对不上就停手。不要继续转账。
这个测试比反复读安全提示有用了。转账测试别一上来就发大额。我的做法是先转一笔小金额，确认链、地址前后六位、矿工费都正常，再到区块浏览器核对状态的。有次我差点把 USDT 发到不支持的网络，页面显示的链名称很小，放大后才看清。现在我会把收款地址复制到记事本了，删掉空格再比对首尾的。遇到 tpwallet.io 页面弹出“网络切换”提示，先停下。
确认目标地址属于哪条链呢？手续费高低也看一眼，拥堵时别硬催，失败交易同样消耗成本。
连接DApp时，授权窗口比页面设计更值得看。能读余额、能发起交易、能无限额授权。是三种不同权限。我从钱包内的DApp入口打开项目，不从聊天窗口跳转。签名前读一遍内容，看到“授权全部资产”或看不懂的合约调用，直接关掉了。用完的DApp连接，在钱包的连接记录里断开。
tpwallet.io 只是入口，真正要防的是随手签名。说个细节，把常用DApp单独放书签，和钱包官网书签分开，减少点错概率了。
日常使用中，更新页面后先清缓存再登录，公共电脑不留钱包。遇到自称客服私信要助记词的，直接拉黑。我的判断很直接，正规流程不会让你把助记词发出去，也不会让你远程共享屏幕的。小额测试、手动核对域名、离线备份，这三件事做顺了，tpwallet.io 的教程才算落地。不要追求一步到位的，先把第一笔小额转账走通。比看十篇安全口号更实在。
