去年冬天。一位做跨境小商品批发的读者给我看他的tpwallet转账记录。他在一个Telegram群里点开所谓“空投领取”链接，页面模仿tpwallet的界面，要求连接钱包并签名授权。他照做了，三分钟后钱包里的USDT被分批转走。金额不算大了，折合人民币七千多，过程很典型，钓鱼页面没有直接要私钥的，利用授权把资产划走。tpwallet本身没有弹出异常提示，因为链上签名是用户自己确认的。

我后来翻看那个链接域名，拼写只差两个字母，手机端几乎看不出来吧？这类案例里，工具一般被当成第一责任人的。真正的问题却藏在操作习惯里。另一个案例更让人无奈了。

一位做设计外包的用户把tpwallet助记词截图存在云笔记，还加了“工作资料”的标题。手机送修时，维修人员翻到相册里的截图。记下十二个单词，随后在另一台设备恢复钱包。用户发现时。tpwallet里的NFT已经被挂到市场上低价出售。

他反复说“我以为云笔记很安全”，可助记词，一旦离开离线环境的，tpwallet的加密机制就帮不上忙。我观察这类事件，发现一个共同点，用户愿意花时间研究tpwallet的界面功能，却不愿意花十分钟做离线备份。私钥管理不是技术门槛，是流程纪律。把助记词手抄在纸上、分两处存放了，比任何“高级设置”都管用。说回tpwallet，我自己的使用习惯是把它当日常小额钱包，大额资产放在硬件钱包里了。每次连接新DApp前，我会先用小额地址测试，再检查授权列表，把不用的授权及时取消。tpwallet的授权管理入口不算显眼，确实存在。

很多用户没注意到的。我不认为tpwallet该为所有钓鱼事件背锅，可它可以在签名弹窗里把风险提示做得更直接，把“无限授权”标红。用户端也要承认一个事实了，链上转账不能逆，tpwallet不是银行客服，没有撤回按钮。那两个案例里的当事人后来都换了新钱包。如果不改掉乱点链接、云存助记词的习惯，换什么工具都一样啊？

工具只是工具，操作流程才是防线。