安全操作指引

该指引为下载了假钱包的用户提供安全操作指引。

一、假钱包为什么是当前最大的安全隐患

1、为什么会有假钱包

基于安卓端的开放性，假钱包根据官网的安装包进行反编辑，加入可以盗取用户导入或创建地址的私钥助记词方式来获取私钥助记词，通常会加入到监控工具中从而获取“利益最大化”，是利益熏心的表现。

2、为什么会下载假钱包？

经过我们调查分析，用户下载假钱包的渠道主要有以下两种：

假官网下载

通过百度，谷歌等搜索引擎搜索TP钱包后，未验证该网站是否是官方网站即点击下载。

通过第三方提供的安装包下载

此处的第三方包括：朋友，亲人，假客服等。

3、假钱包盗取资产的一些特征

因为假钱包可以盗取用户的私钥助记词，所以他们会利用工具进行加载和监控，当发现有大额资产转入后如果是EVM链资产会马上盗取，如果是波场钱包，那么会立即执行恶意多签的操作（如果对方的trx不足，还会自动转入100trx用于权限修改），他们在链上的执行命令是Transfer的调用方式，意味着私钥助记词签名执行的操作。

二、如何区分假钱包和正版钱包

假钱包是目前唯一一种可以确认私钥助记词泄露的渠道，所以可以通过钱包下载渠道、钱包版本号、钱包版本更新和钱包安装包哈希值验证等方式由浅入深的进行排查。

1、钱包下载渠道

TokenPocket下载渠道包括官网下载 www.tokenpocket.pro www.tpwallet.io、 Google Play、App Store（TP Wallet）、华为海外市场、OPPO海外市场、VIVO海外市场、三星商店，如果使用了其他的搜索工具查询到的链接下载和使用钱包将会有非常大的安全隐患。

2、查看TokenPocket版本号

点击“我的”，继续点击“关于我们”，查看您钱包版本号。TokenPocket正版钱包版本更新日志

如果的钱包版本号大于官网的最新钱包版本，则为假钱包。请立刻转移钱包资产，并卸载假钱包！切勿再使用当前钱包的私钥助记词！

3、钱包内更新

如果查看到当前钱包版本不是最新的版本，可以点击上图中的【版本更新】功能来下载最新版本覆盖进行安全，这种安装方式并不会导致你资产的丢失，也不需要重新导入私钥助记词到钱包中。如果安装过程中出现错误提示，例如安装错误、签名错误等提示，那么基本就可以确定是属于假钱包。

4、根据哈希值验证的方式（最准确方式）

因为每个人的动手能力都不同，所以我们才利用由浅入深的这四种方式来进行排查，文件哈希验证工具是通过计算文件内容哈希值的工具。通过工具可以快速计算文件的哈希值，计算出来的 Hash 值与官方给出的 Hash 值进行对比，可以验证文件内容是否被篡改。

点击查看：正版钱包哈希值验证方法

为了进一步了解用户下载假钱包的详细情况，我们邀请您参与一个用户调查https://www.wenjuan.com/s/UZBZJvwnFU/#

三、发现假钱包后的处理方法

1、根据上面提供的查询方式确认使用假钱包后，立即将导入的每条链中所有钱包资产通过转账的方式快速转移至未将私钥/助记词导入过假钱包的新的钱包地址/交易所地址上。可以在电脑端使用TokenPocket插件来创建新的钱包地址。转移完成后，请将假钱包卸载。

点击查看安装电脑端TokenPocket插件教程

点击查看TokenPocket创建/导入钱包教程

请注意：

由于下载了假钱包，您的钱包私钥和助记词已经泄漏，请勿再使用当前的钱包地址。同时，部分假钱包会禁止用户转移资产，如果出现矿工费充足，但无法转账的情况，建议您弃用假钱包内资产。

转账过程中，请仔细核对收款网络和收款地址，如果不熟悉转账操作，请点击查看转账教程

请务必通过TokenPocket官网或官方推荐的渠道下载和使用TokenPocket钱包。

四、TokenPocket官方针对假钱包采取的措施

目前，市面上所有的假钱包都是通过改装TokenPocket官方正版APK来实现的，这也是为什么假钱包和正版钱包在页面设计上几乎无差别的原因。骗子通过篡改正版钱包APK来修改用户私钥和助记词储存逻辑，以此控制和转移用户资产，从而达到盗取资产的目的。

除了私钥助记词储存逻辑的恶意篡改外，骗子并未做其他变动，因此假钱包用户能正常看到钱包内由官方发布的弹窗信息。因此，弹窗提醒是TokenPocket官方帮助用户脱离假钱包骗局的重要渠道之一。

声明：TokenPocket正版钱包储存逻辑为：用户私钥助记词仅保存在用户设备上，官方永远不会通过任何形式获得用户的钱包私钥和助记词！

五、了解更多

如何联系官方客服

如果您确认已经下载了假钱包，并需要客服协助指引解决的，请发邮件至[e-mail]。

请注意：

1.如果您由于下载假钱包导致您的钱包无法转移资产，官方无法提供任何处理方案，建议您立即弃用假钱包，并不再使用当前钱包的私钥助记词。

2.用户钱包仅有私钥助记词控制，如果您因为下载假钱包导致资产丢失，TokenPocket也无法协助您找回资产。

3.请通过邮件方式联系官方客服，官方客服和工作人员永远不会主动私聊您，也不要向您索要任何报酬。

4.凡是要求您验证钱包、激活钱包、转移资产到当前钱包地址的，都是骗子。

5.请认准TokenPocket官方下载网址：https://tokenpocket.pro/ 和 https://tpwallet.io/ 。

为了帮助用户学习更多关于钱包下载的安全科普，并警醒用户谨慎下载钱包，请阅读以下由慢雾科技发布的文章。

慢雾：假钱包 App 已致上万人被盗，损失高达十三亿美元

慢雾：保护你的钱包！ 假钱包全景追踪

同时，您可以可以查看由TokenPocket发布的钱包安全科普，了解更多钱包安全知识！

TokenPocket: 钱包安全科普