1
官方渠道辨别
核对域名拼写、证书信息与页面跳转链路，只在官方公布的下载入口获取安装包，拒绝来源不明的第三方链接。
Why Security
下载环节的四道安全防线
从点击下载到首次登录，每一步都有可验证的判断依据。掌握这四个要点，绝大多数仿冒风险都能被提前拦下。
2
安装包完整性校验
通过文件哈希值与数字签名比对，确认安装包在传输过程中未被篡改，避免被替换成带后门的仿冒版本。
3
权限最小化设置
钱包类应用不应索取通话记录、短信读取等无关权限。安装后逐项检查权限清单，关闭一切非必要授权。
Step by Step
从下载到登录的完整验证流程
按顺序完成下列检查，可显著降低下载到仿冒应用的概率。建议每次更新版本后重新执行一遍。
A下载前：核实来源
- 确认浏览器地址栏域名与官方公布域名完全一致，警惕多字母、少字母的近似域名。
- 检查连接是否为 HTTPS，点击地址栏锁形图标查看证书颁发对象是否匹配。
- 不通过搜索引擎广告位、聊天群转发的短链接下载安装包。
- 安卓用户优先使用官方页面提供的安装包，iOS 用户通过官方指引进入应用商店。
B下载后：校验文件
- 对比官方公布的 SHA-256 哈希值，逐位核对自己本地计算的结果。
- 查看安装包的数字签名信息，确认签名主体与官方发布主体一致。
- 留意文件体积异常偏小或偏大的安装包，这往往是篡改信号。
- 开启系统自带的恶意软件扫描，对安装包做一次完整检测。
C安装时：收紧权限
- 只授予与核心功能相关的权限，拒绝通讯录、短信、通话记录等无关请求。
- 关闭「允许安装未知来源应用」的全局开关，仅在安装时临时开启。
- 开启系统安全机制，阻止应用在后台静默安装其他程序。
- 安装完成后立即检查已授权的权限列表，撤销多余项。
D使用中：账户防护
- 首次登录后立即设置强密码，并开启二次验证（如动态口令）。
- 不在任何非官方页面输入助记词、私钥或登录密码。
- 定期检查登录设备列表，移除陌生设备与异常会话。
- 如遇可疑弹窗、客服索要验证码，一律视为诈骗并立即修改密码。
隐私与安全承诺
我们始终坚持「最小必要」原则处理用户信息，下载与安装过程不索取与功能无关的权限，所有安全提示均可在官方文档中核查。
数据最小化
仅收集维持服务运行所必需的信息，不读取通讯录、短信与通话记录。
传输加密
全站 HTTPS 传输，安装包提供哈希值与数字签名供用户自行校验。
透明可查
版本更新记录、安全公告与校验信息均公开可查，便于逐项核对。
Try It
两个在线安全小工具
下面两个演示卡片均为本地交互，不收集任何输入内容，可放心用于练习辨别下载链接与检查权限清单。
下载链接可信度检测
粘贴一个下载链接，工具会依据 HTTPS、域名结构、可疑关键词等维度给出提示。
等待输入链接……
应用权限清单自查
逐项点击你已授予的权限，工具会统计风险占比并提示需要撤销的项目。
尚未选择任何权限。
Real Cases
常见仿冒风险案例
以下案例均基于真实场景抽象整理，帮助你在下载与安装环节快速识别相似套路。
域名仿冒
近似域名钓鱼页
页面视觉与官方几乎一致，但域名多出或替换了一个字母。识别要点：逐字核对域名，不凭视觉记忆判断。
群文件投毒
聊天群里的「内部版」
以「内部测试版」「加速版」为名在群内分发安装包。识别要点：官方不会通过私人聊天发送安装包，哈希值无法对应的一律不装。
越权索权
索要短信读取权限
安装后立即弹出读取短信、通讯录的请求。识别要点：钱包核心功能不需要这些权限，遇到即拒绝并卸载。
假客服诈骗
客服索要验证码
冒充官方客服，以「账户异常需验证」为由索要验证码或助记词。识别要点：任何索要验证码的行为都是诈骗。
更新劫持
弹窗引导外部更新
应用内弹窗提示「立即更新」并跳转至外部网页下载。识别要点：更新应走官方渠道，弹窗跳转的外部链接需谨慎对待。
广告位伪装
搜索广告冒名顶替
搜索结果顶部广告位伪装成官方下载入口。识别要点：广告位通常带「广告」标识，务必核对落地页域名。
FAQ
安全验证常见问题
关于下载渠道辨别、安装包校验与账户防护，这里汇总了用户最常提出的疑问。
如何确认下载页面是官方渠道？
先核对地址栏域名是否与官方公布域名逐字一致，再点击锁形图标查看证书主体。不要在搜索引擎广告位直接点击下载，也不要点开聊天群转发的短链接。若页面要求输入助记词或私钥，请立即关闭。
安装包的哈希值应该怎么校验？
在电脑端可使用系统自带的命令行工具计算 SHA-256，与官方公布的数值逐位比对。手机端可使用文件管理器自带的校验功能或可信的哈希计算工具。只要有一位字符不同，就说明文件可能被篡改，应重新从官方渠道下载。
安装时哪些权限是必须拒绝的？
读取短信、通讯录、通话记录、后台弹出界面等权限与钱包核心功能无关，应直接拒绝。存储空间、相机（扫码）与通知权限属于合理范围，但也建议按需开启，不要一次性全部授权。
收到「账户异常」的客服消息怎么办？
官方客服不会主动索要验证码、密码或助记词，也不会要求你把资产转到「安全账户」。遇到此类消息，请通过官方渠道自行核实，必要时立即修改密码并检查登录设备列表。
已经安装了来源不明的版本，如何处理？
立即断开网络，卸载该应用，并在另一台干净设备上修改账户密码、撤销已授权的登录会话。若曾在该应用中输入过助记词或私钥，应尽快将资产转移至新生成的安全钱包地址，并持续关注账户动态。
Fresh News
最近一周安全资讯
整理近七天内与钱包下载、安装包校验和账户防护相关的动态，帮助你及时了解最新风险提示。
周一
新版安装包校验说明发布
官方补充了 SHA-256 校验步骤的图文说明，新增手机端校验工具的推荐清单，方便用户逐位核对。
周日
警惕「加速版」仿冒安装包
近期出现以「加速版」「内部版」为名的仿冒安装包在社群流传，官方重申不通过私人聊天分发安装文件。
周五
账户二次验证使用提示更新
更新了二次验证的开启与找回流程说明，建议所有用户在首次登录后立即完成配置并妥善备份恢复码。
周四
仿冒客服话术案例汇总
整理了一批冒充官方客服索要验证码的典型话术，提醒用户任何索要验证码的行为均应视为诈骗。
周三
权限自查清单新增三项
权限自查清单新增「后台弹出界面」「安装未知应用」「自启动」三项高风险权限，并给出对应的关闭建议。
周二
搜索广告位仿冒问题提示
提醒用户注意搜索结果顶部广告位中伪装的下载入口，务必核对落地页域名后再进行下载操作。