7月18日下午。多名TPWallet用户向记者反映，手机钱包突然弹出“升级更新提示”，要求下载一个约28MB的安装包。
杭州一位用户陈默说，他差点点了“立即更新”，幸好发现下载地址不是官网域名，“弹窗做得太”TPWallet官方随后在社群发布说明，确认近期推送了v3.8.2版本，主要修复旧版授权接口的签名校验缺陷。该缺陷允许恶意DApp用户未二次确认的时候读取部分链上授权记录。官方强调的，本次tpwallet升级更新提示仅应用内通知和官网发布。不会用短信或陌生链接推送的。记者实测发现，未升级的老版本仍可正常转账，每次打开会重复弹出提示，无法关闭。安全团队监测数据给出了另一个视角。过去两周。
仿冒TPWallet升级页面的钓鱼域名新增了17个，多数伪装成“紧急升级更新提示”，诱导用户输入助记词了。一名安全研究员拆解其中一个页面，发现后台会实时把输入的12个单词回传到境外服务器。
这个细节比官方公告更值得警惕是真正的tpwallet升级更新提示不会索要助记词或私钥，任何要求输入信息的弹窗都应直接关闭。用户该如何处理？安卓用户最好去Google Play或TPWallet官网下载APK，iOS用户切到非中国区App Store搜索TPWallet。更新前的，记下当前钱包地址，确认助记词离线备份了。已经点过可疑链接，立刻断开网络了，用另一台干净设备转移资产。
记者注意到，有些第三方应用商店仍挂着旧版安装包。版本号停留在3.7.6的，安装后同样会收到升级提示。来源不明。钱包升级本是常规动作。
可，一旦被钓鱼者借壳。就变成针对私钥的精准围猎。TPWallet这次推送覆盖了约六成活跃用户，剩余用户的更新窗口期还有三天。错过官方提示不致命，点错仿冒弹窗才要命。对普通持币者来说，多花两分钟核对域名的。比事后追币现实得多。
