上周三凌晨，一位做NFT交易的朋友在电报群看到“tpwallet官方空投”链接。页面和官网几乎一样吧？连logo的像素锯齿都复刻了。他输入助记词后，钱包里的2.3个ETH和几枚蓝筹NFT在90秒内被转走吧？这个tpwallet钓鱼网站用的是tpwallet-airdrop.com，但真官网是tpwallet.com。差别就在一个连字符。钓鱼网站最狠的地方不是技术，是心理。它们专门盯着空投季、大额转账、客服回复慢节点的。
你急着领币，或者怕资产被冻结。手指一抖就点了。
我观察过十几个tpwallet钓鱼网站吧？发现它们都有一个共同点，页面里一定有个倒计时，制造“再不操作就没了”的假象。真官方从来不会用压迫式设计的。tpwallet钓鱼网站还会伪造谷歌广告，把假链接顶到搜索第一位。另一个细节，钓鱼站会屏蔽中文IP的，或者只允许移动端访问了。你从电脑上打开，可能显示404，手机一点就通。
这招是为了躲过安全公司的爬虫。我试过用虚拟机抓包，发现它们把助记词直接POST到一个越南的服务器。连加密都懒得做。你输进去的每一个单词，对面看得清清楚楚。
这类tpwallet钓鱼网站，甚至会在你提交后弹出一个“网络错误，请重试”的提示，你以为没成功，再输一遍。有人觉得“我懂技术，不会被骗”。上个月一个安全研究员也栽了，他事后跟我说。当时刚开完会，脑子还在转，看到链接域名是tpwallet.org就点了。结果那个域名是上周刚注册的。
tpwallet钓鱼网站不需要多高明，它只需要你一次分心。把大额资产放在冷钱包，热钱包里只留够用的gas，这个习惯比任何防钓鱼插件都管用。
