凌晨一点，阿哲在群里丢来截图。TP钱包弹出一笔授权，对象是个没听过的合约。

他盯着屏幕问，tpwallet安全吗？我让他先断网，不要点确认了，再把助记词找出来核对。那一刻群里还在刷行情，没人顾得上他的。

问题出在他下载的地方。电报群里有人发了“最新版TP”，图标几乎一样吧？网址却多了一个连字符。他装完就把助记词截图塞进相册的。说方便。我见过太多类似故事，软件本身也许没问题。假安装包、假客服、假空投页面的，随便一个环节就能把私钥套走了。

钱包安全从来不是名字带来的，是一整条使用习惯撑起来的。

我们翻了授权记录。一个USDT无限授权挂在那儿，收款地址是0x开头的陌生合约。阿哲说只点过一次“领空投”。领空投最贵的，点一下，可能把余额的支配权交出去。我们撤销授权，又把剩余资产转到新钱包了。TP钱包作为非托管工具，私钥存在本地，平台碰不到；

反过来。助记词丢了，也没人能帮你找回。设计把自由和责任捆在一起。他后来问。

这钱包到底安全吗？我说，看你从哪下、怎么存、授权给谁呢？官网或正规应用商店拿安装包，助记词手抄离线放，不截图、不传云盘的；陌生链接不点。授权定期查，大额资产用冷钱包。

不要把钱包当保险箱，它更像钥匙串，钥匙怎么放呢？比钥匙串好不好看重要。那晚他转完资产，手续费没多少啊？

后怕却持续很久。他原来以为“钱包安全”等于“我安全”的。我也曾这么想过，直到在授权列表里看见几个遗忘的DApp吧？像角落里没拔的插头。安全这件事，没人能替你盯到底。