核验钱包应用时，应从开发者已知的官方网站出发，点击官网提供的应用商店链接，检查发布者和签名信息，并比对应用标识符，而不是只看图标或名称。绝不要安装广告、私信或所谓客服直接发送的可下载钱包文件。
先建立正确的风险模型#
虚假应用可以模仿截图和用户评价，同时把用户新输入的恢复短语发送给攻击者。部分欺诈交易应用还会显示虚构余额，先允许一笔小额提取，再以各种理由要求继续充值。
用户经常在哪些地方中招#
- 相信排名最靠前的搜索广告。这会省略判断虚假应用风险所需的信息，让表面结果变得不可靠。
- 把评论数量当作真实性证明。这会削弱本应限制虚假应用诈骗影响范围的控制措施。
- 无正当理由授予无障碍、屏幕读取或设备管理员权限。品牌外观可以复制，因此必须通过独立核验的渠道重新打开请求。
- 把已有的大额钱包助记词输入新安装的应用。这可能暴露根凭据，之后修改密码也未必能移除攻击者的访问权限。
这些错误有一个共同点：速度或熟悉感取代了核验。每当权限、资金或不可逆签名即将发生变化时，都应该放慢操作。
按步骤完成核验#
- 手动输入或通过书签进入项目官方网站。通过经过核验的产品界面完成后续操作，并测试控制措施，不要只假设它已经有效。
- 点击官网提供的 App Store、Google Play 或代码仓库链接。应在资产或签名权限发生变化前完成，并在安装后核验最终状态。
- 检查发布者名称、软件包 ID、版本历史和请求的权限。继续前，将完整域名、地址、网络或权限与独立的官方来源进行比对。
- 只有核验已安装版本后，才创建或导入钱包。继续前，再次将完整标识与独立官方来源核对。
- 先发送小额测试资金并验证能够正常提取，再提高风险敞口。应使用可独立验证的地址、网络和权限信息完成检查。
使用这项最终检查#
只要任何标识符与官方文档不一致，就应停止。对于高价值钱包，应初始化硬件钱包，而不是把其助记词导入手机应用。
最后一次验证#
不要只因为界面显示成功，就判断虚假加密应用风险已经排除。应使用关闭页面后仍能核验的证据。
| 检查点 | 核验证据 | 停止条件 |
|---|---|---|
| 手动输入或使用书签进入项目官网 | 与官方文档匹配的完整 URL 或合约地址 | 相信排名最靠前的搜索广告 |
| 点击官网提供的应用商店或代码仓库链接 | 与官方文档匹配的完整 URL 或合约地址 | 把评论数量当作真实性证明 |
| 检查发布者、软件包 ID、版本历史和权限 | 删除敏感数据后的带日期截图或链上记录 | 无正当理由授予无障碍、屏幕读取或设备管理员权限 |
如果交易哈希、官方案件编号或带日期截图有助于记录虚假加密应用诈骗，可以保存，但必须排除助记词、私钥和验证码。
常见问题#
应用商店审核能否证明钱包一定是真的？
不能。商店审核可以降低部分风险，但不能取代对官方开发者链接和软件包身份的核验。
如果已经输入助记词怎么办？
应假设助记词已经泄露。在可信设备上创建新钱包，并尽快转移剩余资产。
如果杀毒软件没有发现问题，APK 就安全吗？
不一定。恶意软件检测并不完美，正规钱包应从其官方文档说明的分发渠道获取。
相关指南#
资料来源#
风险提示：加密资产操作可能无法撤销。绝不要分享助记词、私钥、密码或验证码，并应独立核验每一个域名和钱包提示。
编辑标准
本文以教育和可靠来源为基础。安全措施、交易所规则及法律要求可能变化，采取重要操作前请通过相关官方渠道核实。
