官网没变，装进手机的却不是官方 App：安卓安装包来源与真安装通道核验

在安卓上，钱包没点错链接也可能沦陷：App 本身是假的。安装包类攻击的核心不是攻破官方软件，而是做一个看起来一模一样的仿品，再把你引到它面前。流传路径无非几种：搜索广告位排在官网站结果前面的下载站、群文件里热心网友分享的安装包、要求你先装某个看盘工具或语音软件的会议邀请、以及换了图标的同名应用。

核验分三层。第一层是来源。官方站点页面上的下载入口应当从你亲手输入的域名出发，而不是搜索引擎的广告条目；在应用商店里，核对开发者名称和商店的官方标识，同名不同开发者是仿冒的常见形态。第二层是 Google Play Protect。它是系统自带的扫描机制，会检查从商店外渠道安装的包，对未经验证且使用敏感权限的应用可能直接阻止安装或要求你确认。保持它开启是底线，安装来源列表里那些长期挂着允许的应用要定期清理。第三层是签名。同一个开发者的不同版本由同一把签名密钥签署，卸载重装时系统能识别签名是否一致；这意味着从正规渠道升级不会报签名不符，而用第三方包覆盖安装时系统弹出签名不匹配警告，这个警告出现时唯一正确的动作是停手。

装好之后还有行为信号可看。仿冒钱包为了偷助记词，往往索要与实际功能不匹配的权限：一个纯离线的签名工具要求网络与前台服务、一个只需要展示的行情 App 申请辅助功能或无障碍权限，都值得警惕。第一次打开新装钱包，核对应用名包名与官方公布的是否一致；官方有时会在公告里写明包名和签名指纹，长得不像但对不上的别装。

万一已经装了可疑包，按处置顺序走：立即用该钱包创建的空账户确认里面没有大额资产，若助记词曾输入其中，视同完全泄露，按失陷流程把资产迁移到新设备新词；随后卸载应用，进入系统设置检查安装来源记录与无障碍权限列表，关闭所有不认识项，再用系统安全扫描做一轮排查；交易所账户则改密、撤销 API 和第三方登录授权。整个过程里最重要的一句话是：安装时系统的红色警告、签名不符提示、Play Protect 的阻拦，都不是可以点继续的小毛病，它们恰好是攻击链条上你最后一道免费防线。

把视角再拉远一层：安装包风险之所以顽固，是因为它同时吃到了搜索、信任和惰性三个红利。官方团队无力控制第三方站点是否盗链，用户很难理解包名和签名这类看不见的名词，而安装一个 App 只需要几次点击。防守因此只能靠流程化：手机里装钱包之前，先给自己三分钟走一遍固定动作——入口来源是否亲手输入、开发者名称是否逐字核对、系统安全扫描是否开启、要求是否与功能相称。四问全部是才安装。装完之后给钱包 App 单独做一次体检：查看它申请的权限列表，网络、相机、位置、无障碍，每一项都要能对应到功能；纯签名类钱包出现常驻前台服务或自启行为，按异常处理。最后，把这台手机上的钱包版本更新也纳入同一逻辑：更新只从原安装通道进行，弹窗提示升级到新版本时，退出弹窗自己打开商店核对版本号与发布者。安装层的攻击从不正面突破加密，它只做外围替换，因此防它的方法也不在任何密码学里，而在你肯不肯为每次点击多花三分钟做核对。三分钟和一次清空，你自己选。