本期文章我们分享如何通过TokenPocket来开启和使用Nostr协议，从而更好更快的融入到火热的市场中。

移动端使用教程

TokenPocket现已支持Nostr协议（安卓端请更新到1.7.0及以上版本），可以通过两种方式开启。打开TokenPocket点击【我的】，点击【系统设置】或者【体验区】中开启Nostr协议功能。

Nostr地址获取及备份：

1、打开TokenPocket钱包，点击右上角【详情】，点击【Nostr】即可获取Nostr地址。

2、Nostr地址是以【npu】开头，在界面中可以复制、扫码或分享的方式来使用Nostr地址。Nostr地址的私钥导出可以通过钱包详情中【导出私钥】的功能来完成。

请注意，目前并未支持Nostr地址转账，请勿在转账过程中使用该地址执行转账操作。

3、在备份私钥界面点击【展示Nostr私钥】按钮即可查看当前钱包的Nostr私钥，同时点击【展示以太坊私钥】也可以返回到普通备份界面。

请注意，该Nostr私钥是由对应地址的私钥（如以太坊地址的私钥）换算出来的，同时也可以反方向换算出以太坊地址的私钥，所以请务必保管好该私钥，不要丢失和泄露！

WEB端使用教程

TokenPocket插件钱包也已经增加了对Nostr功能的支持，只需要打开插件钱包，点击右上角的菜单并选择【设置】选项。

设置界面中选择【高级】，然后勾选开启Nostr的开关即可完成插件钱包端对Nostr的功能。

Nostr地址获取及备份：

打开TokenPocket插件钱包，点击界面右上角的【>】箭头进入到账户详情界面。

在账户详情界面中点击【Nostr地址】就可以看到【npu】开头，在界面中可以复制或扫码使用。

请注意，目前并未支持Nostr地址转账，请勿在转账过程中使用该地址执行转账操作。

账户详情界面中，点击【导出私钥】进入到备份界面中，点击底部的【点击显示Nostr私钥】，切换后就可以对私钥或二维码进行备份。

请注意，该Nostr私钥是由对应地址的私钥（如以太坊地址的私钥）换算出来的，同时也可以反方向换算出以太坊地址的私钥，所以请务必保管好该私钥，不要丢失和泄露！

全面支持Nostr

TokenPocket已全面支持Nostr协议，涵盖BTC，Dogecoin，以太坊等所有EVM兼容网络，为生态应用带来了极为便利的用户体验。我们相信，这一功能将受到更多用户的青睐和广泛应用。未来，我们期待TokenPocket为比特币生态带来更多创新功能。敬请保持对TokenPocket的关注，共同见证数字生态的不断演进。

这种设计为用户提供了更加灵活和个性化的隐私保护方式，这不仅方便了日常使用，也提升了隐私层面的安全性。

下面带大家了解TokenPocket新功能——隐私钱包如何使用。

什么是隐私钱包

隐私钱包通过钱包中的应用锁实现。开启应用锁后，可以添加一个[子空间]，即隐私空间。在隐私空间设置好密码后，将进入一个全新的[创建钱包][导入钱包]的界面。

当导入或创建钱包后，在下一次打开钱包时，根据您输入的密码将进入不同的隐私钱包。例如，如果在子空间1设置了密码1，在子空间2设置了密码2，那么输入相应子空间的密码将打开该子空间钱包的界面。

这种设置提供更好的隐私性，但必须记住密码。如果忘记密码，只能通过使用密钥才能找回链上的资产。

隐私钱包使用教程

隐私钱包入口：

安卓端和iOS端的隐私钱包入口不同，创建和使用隐私钱包的过程是一样的。

安卓端入口：

1、打开TokenPocket，点击【我的】，点击【系统设置】。

2、在系统设置中打开【应用锁】，只需要勾选【启用】并设置密码后，就可以【添加子空间】设置隐私钱包。

iOS端入口：

1、打开TP Wallet，点击右下角[我的]，点击[安全]选项。

2、点击[应用锁]，勾选[启用]的开关。

3、在界面中设置密码，最少要求8位，建议设置稍微复杂一些并牢记这些密码，会作为当前钱包的密码口令来使用。完成密码创建后就可以看到[添加子空间]的选项。

隐私钱包使用教程：

1、在界面中设置密码，最少要求8位，建议设置稍微复杂一些并牢记这些密码，会作为当前钱包的密码口令来使用。完成密码创建后就可以看到[添加子空间]的选项。

2、在这里还需要设置一个密码，这个密码就是新建的子空间的访问密码口令，请务必牢记。完成密码设置后点击[进入空间]。

6、在新建的子空间中，需要重新的创建或导入钱包，根据我们的需求来进行操作，当完成操作后，当我们下一次打开钱包的时候，根据我们设置的不同子空间的密码输入后即可进入到对应的钱包中。

密码在这里扮演着非常重要的角色，如果您忘记了某一子空间密码，那么意味着这一组中创建或导入的钱包将无法访问，只能通过使用私钥、助记词重新导入的方式来找回。请务必牢记隐私钱包密码。

隐私钱包使用问答

Q1: 子空间的密码是否可以设置一样？

A1: 子空间的进入完全依赖设置的密码，所以无法设置不同的空间相同的密码，在界面中也会有提示信息出现。

Q2: 子空间如果关闭应用锁，那么别的子空间数据会丢失吗？

A2: 关闭当前使用的子空间后，钱包会停留在当前进入的钱包中，如果需要访问其他的子空间，就需要重新打开应用锁并且重新打开钱包来输入不同子空间的密码。

Q3: 子空间的密钥是否需要保存？

A3: 是的，它依然需要保存，本质上还是一个EOA类型的密钥钱包，所以请务必离线备份好你的私钥助记词。

本期文章旨在揭露假钱包的概念、危害、分发和传播途径等欺诈手段，使用户充分了解到假钱包使用和传播的危害，希望提高用户对假钱包和假官网的识别能力，确保用户能够安全、稳妥地掌握自己的资产。

什么是假钱包

假钱包是诈骗分子通过对正版钱包apk或 ipa进行反编译，加入对创建或导入钱包的私钥、助记词数据盗取功能，重新打包后分发到网络中引导用户下载。一旦用户下载使用假钱包，那么私钥、助记词数据会自动同步到诈骗分子服务器中进行监控，一旦检测到大额资产会立即盗取或者设置恶意多签，最终导致资产被盗。

通过TokenPocket官网的下载页面可以查看钱包的版本号、哈希值等数据，**任何和官方版本数据不符的客户端都是假钱包，**可以通过安装包哈希值验证教程来验证钱包的真伪。

正版TokenPocket钱包验证方法：

官网验证：

https://verify.tpwallet.io/

文字教程：

https://help.tokenpocket.pro/cn/secirity-knowledge/protective-measures/verification

视频教程：

https://www.bilibili.com/video/BV18M4y1B7Hy

注：正版TP Wallet请认准开发者为：TP Global Ltd

假钱包巨大危害

第三方渠道数据：

Trend+研究团队发现了所有最受欢迎的加密钱包应用程序的假冒版本，包括 TokenPocket、imToken、MetaMask、Trust Wallet 和 Bitpie，研究人员表示总共发现了 249 个假冒应用程序，这些应用程序由世界各地的受害者下载，包括美国、法国、德国、澳大利亚、新西兰，还有日本。

慢雾AML团队研究结果显示，据不完全统计截止2021年因下载假钱包App导致资产被盗的受害者规模已有上万人，被盗金额高达十三亿美元。目前，这一个被盗数据依然是一个爆发的增长势态。

根据慢雾MistTrack所接触的受害者信息收集统计，因下载假钱包App被盗的比例占受害者被盗原因的61%，而私钥泄露占28%，其他原因包括授权被盗、诈骗以及合约漏洞。

币追 Bitrace 团队长期关注盗币犯罪态势，针对这类假钱包多签骗局进行过专门的分析、跟踪和报道。

假钱包导致的波场钱包恶意多签的主要症状有：无法正常使用自己的加密货币钱包 APP，具体表现为转账报错，也无法调用其他链上合约，但转入正常，最后账户内的资产被一次性转走。经查，均系下载假钱包 APP 导致密钥泄露，进而被盗币者非法更改账户权限。

综合币追、慢雾和Trend+安全团队的数据，我们充分的看到了假钱包的危害之深，受骗资产之大。这些诈骗活动通过各种手段传播，还在其背后形成了庞大的产业链。假钱包诈骗活动广泛危害着用户群体，给用户造成了严重的经济损害。

假钱包制作和分发渠道

1、搜索引擎渠道：

在我们日常生活中，搜索工具已成为一种极为常用的信息获取渠道。正因为其普遍性，骗子们巧妙地利用人们的使用习惯和搜索产品排名的优化等方式，以实现其欺诈传播的目的。数据显示，骗子们通过操纵搜索引擎结果，优化假信息的曝光率，将假钱包源码等欺诈性内容置于用户搜索结果的前列，增加被查看或传播的可能性。

例如使用【TP钱包源码】在谷歌和百度中搜索，部分结果如下：

2、视频传播渠道

假钱包通过视频平台的传播途径日益成为一个主要渠道，近期上升趋势明显，成为诈骗者在传播假官网后的又一“亮点”。视频的传播效果对于新用户诱导性很强，危害更大，以下是搜索结果中部分内容展示。

3、社交平台渠道

假钱包源码还会通过社交平台传播，尤其在QQ社区、微信社区以及Telegram社区。欺诈者借助社交平台广泛的用户群体，通过在群组中传播假钱包源码的教程和宣传，甚至引诱用户参与假钱包或假钱包源码的分发和传播，根据传播业绩的比例或盗取资产的比例来进行收益分配。

以下是一些恶意源码或盗取资产技术社区传播的内容。

通过传播假钱包源码和制作假钱包，这些行为构成了假钱包传播的根源。通过上述渠道，我们了解到现状并不容乐观。诈骗者充分利用网络传播的主流途径，形成了一个完整的产业链。这对整个区块链环境造成了巨大威胁，因为几乎所有主流钱包都能在网络上找到假钱包的信息。

假钱包传播渠道

百度是日常使用最多的搜索引擎，历史市场占有率高达84.3%，其次是必应、搜狗，搜索引擎市场占比数据如下：

前四位搜索引擎搜索TP钱包的结果如下：

根据上面的搜索数据显示，伪装成假钱包的欺诈行为已经广泛蔓延至主流的搜索平台。这些欺诈行为通常通过伪造官方网站链接、制作虚假视频或采用其他引导手段，来传播假钱包。

我们强烈建议用户提高安全意识，确保访问TP钱包官网：

1. tokenpocket.pro  2. tpwallet.io  或其他官方推荐渠道（Google Play等）。使用正版钱包，是资产安全的最基本保障。

假钱包如何防范

钱包的下载和验证是我们在区块链领域都应该掌握的基本知识。同时，养成良好的使用习惯至关重要，特别是对于去中心化自托管产品，务必选择官方渠道。以下是一些建议，有助于降低遭遇欺诈行为的风险。

1、谨慎选择搜索结果： 选择搜索结果时，避免依赖搜索引擎中的推荐结果，欺诈者可能通过伪造官方网站链接、制作虚假视频或其他欺骗手段来推广假钱包。使用官网链接才是最安全的选择。

2、验证官方网址： 仅使用官方网址来访问钱包。对于TokenPocket用户，确保你只使用 tokenpocket.pro / tpwallet.io 或其他官方推荐渠道（Google Play等）。

3、使用增强安全产品： TokenPocket支持多元化安全产品，例如冷钱包，硬件钱包，多签钱包，AA智能钱包，Passphrase隐藏钱包，NFC备份卡、隐私钱包等。这些功能或产品提供了额外的安全保障，对资产的安全有很大的促进设置决定性作用。

4、加强学习： 持续学习有关区块链钱包的安全和反诈知识，并保持对新型欺诈手段的警惕。通过采取这些预防措施，用户可以最大程度地减少遭遇使用区块链假钱包等潜在风险，确保数字资产的安全。

资产安全建议

在使用去中心自托管钱包时，最不能畏惧的是一些繁琐事务，例如私钥助记词的备份必须以离线方式进行，做好保存，不要丢失或泄露（可以选择备份卡这种NFC方式的离线备份方式）。而最不容忽视的则是安全，从小额转账的钓鱼骗局，到假钱包、恶意授权或恶意多签，每不经意的疏漏都可能导致资产的风险。

尤其是在安卓客户端，由于其较高的开放性，一些恶意APP可以轻松地获取更多权限。因此，请务必不要随意使用非官方的区块链相关产品，更不要使用任何联网平台保存私钥和助记词，确保你的资产远离潜在威胁。在数字资产的领域，时刻保持警觉和谨慎至关重要。

AA智能钱包, 也称为账户抽象钱包（Account Abstraction Wallet），是基于ERC-4337协议的一种智能合约钱包。其通过智能合约进行管理，能够按照合约账户的规范定义传统的助记词钱包；用户可以通过智能合约来控制这个钱包，允许进行编程操作以提高其安全性和可用性。这种方法消除了用户因丢失助记词或私钥而担忧的风险，从而为用户提供了更高级别的安全性。

如何创建AA钱包？

1、打开TokenPocket钱包，点击【我的】，点击【体验区】，开启【智能钱包】体验按钮。（如果没有体验区功能，请更新您的钱包版本）

2、返回资产页面，点击右上角图案，点击【智能钱包/多签钱包】。

3、选择【智能钱包】，继续点击【创建智能钱包】。

4、点击【Polygon（Matic）】，认真阅读智能钱包介绍，点击【开启智能钱包之旅】。

注：TokenPocket AA智能钱包体验版本现优先支持Polygon马蹄链，后续会支持更多公链。

5、进入创建智能钱包页面，点击【选择管理钱包】来设置管理地址，在添加方式界面中可以填入地址或者通过右上角扫码或本地添加的方式进行添加，只能使用一个管理地址对AA智能钱包进行管理。

设置完成管理者地址后即可获得您的智能钱包地址。自定义钱包名称，勾选用户协议，点击【确认】。至此，您已成功创建Polygon AA智能钱包。

关于创建者

1. 管理者钱包为私钥、助记词钱包（即EOA钱包），请务必确认您持有管理钱包的私钥或助记词，并妥善保管好您的管理钱包的私钥助记词。（建议使用KeyPal硬件钱包/KeyPal助记词钢板/KeyPal Card备份卡）

2. TokenPocket AA智能钱包体验版本优先支持设置管理者钱包以担任恢复/控制智能钱包/代付矿工费的角色。

3. 管理者可以为AA智能钱包代付矿工费，AA智能钱包第一笔链上操作执行的同时，需要支付AA智能钱包创建费用，请确保管理者钱包/AA智能钱包钱包内有足够的$MATIC。

如何导入AA智能钱包？

1、打开AA智能钱包添加界面，选择【导入智能钱包】。

2、在地址栏中填入AA智能钱包的地址，会自动识别管理钱包核对无误后点击【导入钱包】即可完成AA智能钱包的导入。

AA智能钱包如何使用

1、打开刚刚创建的AA智能钱包，在这里转入了1 USDT用于转账的测试，点击USDT进行转账，在转账界面中【选择钱包】或填入地址后，在【支付方式】中可以看到默认是本地址支付矿工费的选项。

2、由于创建的AA智能钱包中缺乏足够的MATIC以支付上链矿工费，因此我们需要考虑其他支付方式。尽管最佳选择是使用管理地址支付MATIC，但在本教程中，我们使用USDT进行支付。请注意，首次执行AA智能钱包上链操作需要支付额外的合约创建费用，因此请确保您拥有足够的资产来满足这些费用要求。

3、支付完成后可以看到转出资产的数量是创建手续费+转出数量，等下一次执行链上操作时，可以看到手续费较首次执行链上操作时降低了一部分。

结语

账户抽象是解决当前EOA钱包局限性的最好方案之一，同时也为钱包领域带来了更多的灵活性和可操作性。TokenPocket安卓端现已推出AA钱包功能，为加密用户带来更多Web3.0可能性。

随着区块链行业的不断发展，EOA钱包对于传统Web2.0行业用户的不友好性逐渐显现。

如何“将下一个十亿用户引入Web3.0”？

或许，由账户抽象概念带来的AA钱包会是一个方向。

关键词解析

账户抽象：账户抽象是一项提高以太坊账户（EOA账户）管理和交互灵活性的提案。

EOA钱包：外部拥有账户（Externally-Owned Account），该账户由私钥、助记词控制，也是目前用户量最大的传统的私钥、助记词钱包。

AA钱包：账户抽象钱包（Account Abstraction Wallet），文章内简称“AA钱包”，AA钱包基于ERC-4337协议，是一种智能合约钱包，AA钱包由智能合约控制。

当前EOA钱包的局限性

还记得你第一次通过EOA钱包进行交互吗？

当前EOA钱包存在的局限性：

1. 资产安全仅由私钥、助记词控制。

EOA钱包是目前最常见的钱包账户体系的统称，EOA钱包仅由私钥、助记词控制，用户必须妥当保存EOA钱包的私钥、助记词，一旦泄露，将导致钱包资产的丢失。

这一点对于所有区块链参与者来说，都是一个安全隐患的痛点。以往，我们推出了多个解决私钥、助记词保管安全的产品，如硬件钱包、冷钱包、多签钱包等，但是这些对于新手用户来说，上手难度更大，其核心依然是依托于私钥、助记词的保管和使用情况。

2. 不友好的交互逻辑。

• 链上手续费高昂及不稳定

• 影响交易确认的因素多

• 交易流程复杂

以以太坊为例，在以太坊上执行一笔转账或交易，你必须支付原生币ETH作为矿工费，才能使交易上链。如果用户钱包没有ETH，那么只能通过中心化的路径进行购买/通过第三方跨梁桥进行跨链，再转移至钱包。在特殊情况下，由于链上拥堵，会造成矿工费升高或交易失败，造成用户损失。

以上两个EOA钱包的局限性，是目前所有加密用户都会面对的难题，而解决这些难题，需要大量的知识学习和补充，还需要在学习的过程中面对如“风险授权”，“风险代币”等挑战。

“账户抽象”概念的提出和发展，在一定程度上解决了这些问题。

如何定义账户抽象？

“账户抽象”四个字更多指的是钱包账户本身的“抽象”，除了目前大家所了解到的“私钥、助记词”抽象化处理外，还包括账户交互流程，使用体验，链上体验等的抽象处理。

从技术层面上讲，账户抽象是指账户完全由智能合约控制，部分合约细节对于以太坊协议来说是“抽象”概念。每个账户都是一个智能合约，用户可以在无需掌握任何私钥、助记词的情况下自由控制智能合约账户。

从用户层面上讲，账户抽象使得账户交互细节得到了更高级的提升和优化，也使得钱包使用流程更加便捷，提高了Web3.0的适用性。

我们将从“社交恢复”，“签名抽象”，“矿工费抽象”和“Nonce抽象”四个主要方面介绍“账户抽象”，为了更好地理解“账户抽象”，我们也会在介绍过程中使用更易懂的例子帮助你了解“账户抽象”。

1. 社交恢复

目前EOA钱包最大的用户痛点是“私钥、助记词难以妥善保管”，账户抽象将私钥、助记词抽象化处理，用户无需在创建钱包过程中进行私钥、助记词备份。如果不慎卸载钱包或删除钱包账户，可以通过多重身份验证和社交恢复（邮箱等）来恢复账户。

2. 签名抽象

EOA钱包的签名是需要私钥、助记词使用ECDSA算法（椭圆曲线数位签名算法）生成的签名才能有效上链，也就是说，私钥、助记词是控制资产的唯一凭证。账户抽象是将ECDSA算法剥离，允许用户自定义规则来授权钱包发起签名交易，通俗来讲，就是，你本人是控制资产的唯一凭证。

以下从“限制交易”、“多方授权”以及“自动支付”三个功能来为大家介绍签名抽象。

a) 限制交易。

如果签名价值超过你的预设限制，与你的智能账户关联的AA钱包可以拒绝交易(或要求额外授权)。

例如：每个人的银行卡每天/每月都有交易上限，超过上限后，你的银行账户会拒绝后续交易（或通过其他形式和你确认额外交易授权。）

b）多方授权。

您可以将帐户的部分控制权委托给受信任的各方，我们称之为“监护人”，监护人可以是朋友、家人、服务提供者，甚至是你拥有的一个单独的设备，如KeyPal硬件钱包。从而，“监护人”有权限控制你账户内的资产。

例如：TokenPocket支持的多签钱包账户就是其中一个“账户抽象”的概念。

c）自动支付。

您可以授权第三方服务从你的账户中“转移”资产以支持某笔固定的消费支出。

例如：你需要绑定银行卡来支付每月的家庭水电费，同样的道理，你也可以通过绑定你的AA钱包来支付某个平台的订阅费用（前提是该平台已支持加密货币作为收款方式）。

“交易限制”、“多方授权”以及“自动支付”只是签名抽象中三个比较亮眼的应用场景，我们也将在未来结合新的AA钱包功能，为大家介绍更多使用场景，让AA钱包融入你的Web3.0生活。

3. 矿工费抽象

如前文所说，当前以太坊公链任何一笔交易必须支付原生币ETH作为矿工费，才能使交易上链，这种机制的交互逻辑对用户使用并不友好。尤其是对于Web3.0新用户，获取矿工费的路径太过复杂，而账户抽象能够很好地解决这个问题。

在账户抽象体系中，用户所创建的智能合约账户，可以使用其他ERC-20代币（如USDT，USDC等）代为支付链上矿工费。合约层面会有一个“中继器”来将ERC-20代币（如USDT，USDC等）转换为原生币ETH，从而把交易推送上链。

未来，项目方甚至可以通过在中转站捐赠或赞助手续费等方式，在用户层面实现“无手续费交互”，真正实现与Web2.0一样的简便交易。

4. Nonce抽象

在以太坊体系中，Nonce是一个重要的概念，用于确保交易按照特定顺序执行。Nonce的目的是维护交易的顺序性和完整性，以防止“重放”攻击和混乱的交易执行顺序。

如果你需要发起两笔或以上的交易，这两笔交易Nonce值分别为0和1，那么你需要先等Nonce值为0的交易先执行/确认，才能执行Nonce值为1的交易。对于需要批量执行交易操作的用户而言，这样的流程太过于死板，导致工作效率低下。

账户抽象允许你创建自定义重放保护机制(而不是以太坊协议对交易强制严格排序)。例如，可以使用允许批量处理多个交易的Nonce，从而把多笔交易推送上链，解决了由于特定顺序所导致的问题，让Web3.0更加轻量化。

那么，AA钱包的交互流程会是怎么样呢？

结语

账户抽象是解决当前EOA钱包局限性的最好方案之一，同时也为钱包领域带来了更多的灵活性和可操作性。TokenPocket即将推出AA钱包功能，为加密用户带来更多Web3.0可能性。敬请期待！

什么是WalletConnect

WalletConnect是一种开源协议,致力于实现数字钱包与去中心化应用(DApp)的连接。它允许用户借助手机钱包扫描二维码,安全连接DApp而无需上传钱包密钥。这为区块链应用带来了便捷和安全的用户体验。

WalletConnect协议由WalletConnect社区开发并维护,该组织由全球70多家公司和个人组成。协议代码均开源在GitHub上,开发历程完全透明。这增强了协议的安全性及可信度。

V1和V2版本有什么区别

**安全性：**V1版本使用了基于URL协议的通信方式，存在一些潜在的安全风险。而V2版本则采用了更加安全的加密通信协议，提供了更高的安全性保障。

**多链支持：**V1版本支持的公链单一，V2版本通过引入会话范围的链集合、改变链的控制方式以及支持更新会话状态的帐户，提供了更灵活和更强大的功能。这些改进使得钱包和DApp之间的交互更加高效和便捷。

**消息确认：**V1版本的最大缺点在于客户端无法确认从服务器收到的消息，V2版本通过改进客户端的功能，使其能够跟踪消息的确认和历史记录，提高了连接的可靠性和稳定性。这使得与服务器或节点的交互不会干扰会话，并且在恢复连接时能够保持一致的状态。

**会话生命周期：**V1版本中交互会话具有无限的生命周期，直到其中一个客户端发出断开连接的事件；V2版本中通过引入会话到期时间戳的概念，解决了V1版本中会话状态停滞的问题。这种改进确保会话能够及时断开并删除状态，提高了会话的可管理性和效率。

V1停用后用户如何使用DApp

WalletConnect官方自2023年6月28日起停止了V1版本的服务，许多DApp尚未升级到V2版本，这可能导致在扫描二维码后出现“网络错误”等提示信息。（WalletConnect V2无法向下兼容V1版本）

**更新数字钱包：**TokenPocket新版本已经支持WalletConnect v2协议，推荐使用新版本，而大多数主流数字钱包也都会陆续增加对WalletConnect v2的支持。

**选择DApp支持：**确认您希望使用的DApp是否已经升级为支持WalletConnect V2版本。通常，DApp的官方网站或社交媒体会提供相关的更新信息，如未支持，可以向DApp开发者进行反馈。

**其他连接方式：**使用DApp时如果在连接方式中如果没有看到TokenPocket选项，那么可以直接选择点击“MetaMask选项” 来兼容使用。

WalletConnect V2如何使用

1、在PC端打开DApp链接，连接钱包方式中选择WalletConnect（DApp已默认支持V2），打开TokenPocket，点击右上角【扫一扫】识别二维码。在这里可以看到V2版本新增了可以选择地址和设置支持的网络的功能。

2、选择网络中可以查看到当前DApp默认支持的网络（EVM链），选择地址中可以灵活设置不同公链中的可用地址进行切换，不需要退出重新连接，直接无缝切换使用。

3、连接成功后会看到【已连接】的提示信息，下方的地址默认可以切换状态。返回到钱包主界面，点击左下角的WalletConnect标识可以快速的查看连接状态。

4、V2版本支持了多DApp的连接，并可以灵活的切入到连接中进行地址的切换操作，当我们在DApp中执行上链操作时，在钱包中就会自动弹出详情的界面，需要确认信息后输入密码签名。（BTC、ETH等公链可以按需提高Gas）

TokenPocket现已全面支持WalletConnect V2。如果您在使用过程中遇到任何问题，请通过邮箱service@tokenpocket.pro与TokenPocket联系，这将有助于TokenPocket改进并优化与WalletConnect V2的兼容性。

什么是冷钱包？

我们平常通过移动端钱包或电脑插件钱包所创建的钱包，都称之为“热钱包”；私钥助记词会保存在本地设备中，因为其联网的特性，所以会存在一定风险。

而冷钱包，与热钱包相对应，也称离线钱包或者断网钱包，是区块链钱包管理方式之一，意指用户设备不直接连接到网络的钱包。冷钱包通常依靠“冷”设备**（不联网的电脑、手机等）**确保钱包私钥的安全，利用和联网观察钱包的离线交互（二维码方式）来完成操作，从根本避免了被黑客盗取私钥的风险。

如何导入冷钱包？—— 原来旧手机除了卖掉，还可以做个冷钱包！

TokenPocket支持用户离线创建或导入冷钱包，您所需要准备的，就是一部离线手机。（离线手机可以使用旧手机代替）

**创建流程：**准备一部离线手机，打开TokenPocket，点击右上角钱包图案，选择所需要创建的网络，点击创建钱包后，进入创建方式页面，选择【冷钱包】即可进行离线冷钱包创建。

导入流程：

1、点击TokenPocket钱包右上角钱包图案，选择所需要导入冷钱包的网络。

2、点击【导入钱包】，选择【冷钱包】。

3、输入您钱包的私钥或助记词，勾选服务协议，点击【确认导入】，即可完成冷钱包的导入。

冷钱包资产页面中，您可以看到冷钱包标识，需要与观察钱包扫码确认交易签名信息时，点击【扫码签名】即可。

如何使用冷钱包和观察钱包交互?

观察钱包，主要用于观察目标钱包的资产情况，需要配合冷钱包扫码完成资产转账等操作。

1、当使用观察钱包发起转账操作时，获取到观察钱包二维码后，使用不联网设备上的冷钱包进行扫码并执行钱包确认操作。

2、冷钱包完成钱包操作后，将获得二维码签名信息，使用联网设备的观察钱包扫描钱包结果，即可成功发送交易。

TokenPocket目前支持动态二维码及加密扫码协议，极大提高了加密信息通过二维码传输时的安全性。

结语

不论什么时候，保护钱包资产安全，都是加密用户最重要的任务。冷钱包，作为一种安全的加密货币存储解决方案，提供了一个安全的堡垒，能抵御黑客攻击和其他网络安全威胁。尽管冷钱包可能在日常使用方面没有热钱包那么方便，但对于保护大量资产和长期储存来说，它们无疑是一个更好的选择。

由于去中心化自托管钱包需要用户导入私钥助记词来管理链上资产，因此，如何正确下载官方钱包成为了新手上路中重要的一个门槛。

一、假钱包盗币特征

近段时间，社区用户高频反馈钱包资产丢失或钱包被多签。经TokenPocket紧急采取技术分析及被盗用户调研后，我们发现大量假钱包下载是通过搜索工具和第三方社区等渠道“肆意传播”，这些不法分子通过反编译技术，在正版TokenPocket钱包的安卓APK（iOS的IPA）安装包中嵌入能够窃取私钥和助记词的恶意程序，然后将篡改后的安装包发布到搜索网站进行竞价排名优化和钱包相关的社区中，等待毫无戒心的用户上钩。

当用户通过搜索工具或他人推荐下载并使用了这些篡改后的假钱包，他们创建钱包或导入钱包的私钥和助记词就会被泄露，然后加入到监控工具中。一旦发现有大额资产的到账，会马上进行自动盗取或自动执行恶意多签操作，从而导致资产全部丢失。

注：任何使用过假钱包导入或创建的地址都要马上废弃，并迅速转移里面可用资产到安全的地址，不要存在侥幸心理。

二、如何正确下载和验证正版钱包

安卓版本：

当前TokenPocket提供安卓下载的渠道包括：官网、谷歌商店、三星应用海外商店、华为应用海外商店、OPPO应用海外商店、Vivo应用海外商店。统一开发商名称为：TP Global Ltd

安卓用户可以使用TP官方【版本验证】功能。TokenPocket每发布一个新版，其安装包都会有唯一的哈希值（MD5、SHA256等）。版本验证就是通过匹配不同版本安装包间的MD5或SHA256值来判断您安装的TokenPocket是否为正版。

版本验证链接：https://verify.tpwallet.io/#/

获取钱包的MD5和SHA256值教程：https://help.tpwallet.io/cn/security-knowledge/protective-measures/verification

苹果版本：

iOS版本只有App Store一个下载渠道，App只有使用非内地ID，通过App Store下载的才是正版钱包，因此在使用苹果相关设备时，请务必使用App Store为唯一下载渠道。

TokenPocket当前iOS版本在苹果商店名称为：TP Wallet，开发商名称为：TP Global Ltd。

https://help.tpwallet.io/cn/wallet-operation/download-tp-app/id

注：2022年10月8日之前在App Store中下载的开发商为: TOKENPOCKET FOUNDATION LTD 是TokenPocket开发的早期版本，也是正版钱包可以正常的使用，后续将暂停更新服务。

三、如何识别假钱包骗局

聊天软件（如电报，微信，QQ等）主动私聊你的“热心”客服或“热心”用户，提供来历不明的安装包或者“高仿官网”下载链接。

搜索工具中凡是文章/链接开头带有【广告】、【赞助商】等词的，都是涉及引导用户假钱包下载的诈骗文章/链接。（如发现此类链接，请马上进行举报）

下载TokenPocket前，请认准TokenPocket钱包官网链接：

官网链接1：https://www.tokenpocket.pro/

官网链接2：https://tpwallet.io/

四、如何保护钱包资产安全？

1、不要联网保存私钥助记词，推荐使用冷钱包或硬件钱包。

使用联网平台对私钥或助记词进行备份，存在一些潜在的风险和威胁，包括但不限于以下情况：

偷窥风险：当私钥或助记词被存储在联网设备上时，恶意软件、黑客或恶意第三方可能会通过网络渗透或攻击你的设备，窃取这些敏感信息。

云存储风险：使用云存储服务或在线第三方应用存储私钥和助记词可能面临数据泄露的风险。这些服务通常需要信任第三方保护你的数据，但第三方可能会受到攻击、数据泄露或不当使用数据的威胁。

因此，为了增强私钥和助记词的安全性，建议采取以下存储措施：

离线存储：将私钥和助记词保存在离线设备上，如TokenPocket冷钱包功能、硬件钱包KeyPal或纸质备份等。这些设备不直接连接互联网，减少了被攻击的风险。

物理安全：确保离线设备和纸质备份的物理安全性，防止其被盗、丢失或损坏。

2、推荐使用钱包多签功能。

创建多签钱包教程：https://help.tpwallet.io/cn/faq/Multisig-Wallet/create

Multi-Sig表示多重签名，而多重签名是一种特定类型的数字签名，而此类型的签名将允许两个以上用户作为一组来进行签名。因此，多重签名则通过多个单一签名的组合来产生。

举例来说，想像有一个拥有两把锁和两把钥匙的保险箱，一把钥匙由A持有，另一把则由B持有。打开此保险箱的唯一办法就是A和B两个人同时提供钥匙开锁。如果你只有其中一把钥匙，是无法打开这个保险箱的。

通俗来讲，就是把该钱包地址的资产控制权分到2个或以上单私钥钱包身上，避免单点泄漏导致资产丢失。

适用场景

1. 用于需要多人管理资产，避免资产被个人挪用；

2. 通过多签对资产进行多重加密，增强资产安全性；

3. 其他安全应用场景。

2、在自定义网络编辑界面中，点击右上角的【便捷入口】，在打开界面顶部填入关键词zkSync，选择第一个自定义网络。

3、点击zkSync alpha testnet 公链后会看到下面的参数提示：点击右下角【确认】即可完成新增自定义网络的操作。

4、点击新增网络，可以看到【创建钱包】和【导入钱包】两个选项，可以根据自己的实际需求来创建或导入zkSync alpha testnet 公链钱包。

除了常规的【创建和导入钱包】，还可以使用TokenPocket的钱包同步功能来快速完成其他EVM公链的同步操作，方法如下：

打开TokenPocket，点击蓝色卡牌的右上角【详情】

选择【钱包同步】，在钱包同步界面中下拉找到需要同步的公链后勾选，然后点击【开始同步】即可完成钱包同步的操作。

与多签钱包对应的是单签钱包，我们要往区块链上发送一笔转账操作，需要用钱包生成一个签名，我们自己签好名把交易发送出去，这就是典型的单签钱包，也是我们平时常用的钱包。

多签钱包，顾名思义，就是需要多个人去签名执行某个操作的钱包。使用多签钱包进行转账，往往需要 >= 1 个人去签名发送交易，转账操作才可以完成。使用多签钱包时，我们可以指定 m/n 的签名模式，就是 n 个人里面有 m 个人签名即可完成操作。比如 2/3 签名模式，就是 3 个人里面有两个人签名就可以。

ETH/ERC20 (包括 BSC/BEP20 等EVM链）的多签采用轻量智能合约（smart contract）方式。

适用场景：

1. 用于需要多人管理资产，避免资产被个人挪用；

2. 通过多签对资产进行多地址签名管理，增强资产安全性；

3.其他安全应用场景。

创建多签钱包：

1、打开TokenPocket插件钱包，点击右上角菜单，选择【多签钱包】。

2、在弹出的新界面中，我们可以选择创建或导入多签钱包，我们模拟首次创建的情景。点击【创建钱包】。

3、多签钱包创建的步骤是最核心的内容，下图中将每一个类型的内容进行了展示，内容如下:

【多签钱包名】和日常创建钱包名一样，可以自定义设置，并不会上链。

【设置管理钱包】设置多签钱包的管理钱包，多签钱包由管理钱包共同进行管理和控制，最多支持30个管理钱包设置。管理钱包可以灵活设置，适用于企业或团队资产管理或个人的多元化使用。

【最少确认签名数】设置钱包最低签名数，当满足最低签名数时，即可发起转账、合约交互等链上操作。最小确认签名数建议设置大于2以上的数值，可以兼顾安全与便捷。

【费用信息】该费用属于在链上执行多签钱包创建的网络费用，TokenPocket不会收取任何费用。

【支付钱包】这里可以点击选择钱包中导入的钱包地址进行创建Gas（矿工费）费用的支付。

当一切设置妥当后，点击【确认】即可看到多签钱包创建中的提示，界面中可以点击跳转到BSC区块链浏览器上查看相关创建信息。

4、创建过程中可以很直观的看到创建状态。

点击【进入钱包】，即可打开刚刚创建的多签钱包。

导入多签钱包：

1.打开TokenPocket插件钱包，点击右上角菜单选择【多签钱包】

2.导入界面中输入自定义名称，填入【多签钱包地址】会自动读取到管理地址和最少确认签名数，点击【开始导入】即可导入到多签钱包中。

波场多签场景

波场多签一般分为主动多签和被动多签，主动多签就是自己设置多签，加强资产安全的措施；被动多签是以用户非主观意愿下进行的多签操作，针对这两类问题整理了以下几种可能会导致多签的场景。

第一种，自己设置了多签，需要自己管理地址执行签名；

第二种，使用假钱包导致私钥助记词泄露，被对方获取后设置多签；

第三种，网络上获取的私钥助记词导入钱包，该地址已经被多签；

第四种，执行了第三方恶意的链接，并且签名完成了权限提升。

波场钱包地址创建后是默认的单权重设置，可以执行任何的链上操作，如果地址被被多签，一定是因为私钥或助记词的泄露或执行恶意链接导致的权限更改。

波场多签简介

波场（TRON）的多重签名机制是一种安全措施，通过设置阈值和权重来限制特定的操作只能在多个签名方的共同确认下才能执行。

在波场多签机制中，阈值是指多少个签名方需要确认才能执行特定的操作。例如阈值为 2，那么在执行特定操作时至少需要两个签名方进行确认。阈值可以在多签合约中进行设置，根据具体需求进行调整。

而权重是指每个签名方的权重大小，它可以决定每个签名方在多签操作中所占的比例。例如，如果设置了阈值为2，两个签名方权重为 1，那么在执行特定操作时，需要两个拥有权重为 1 的签名方的确认才可以生效。权重的设置需要在合约中进行设置，并且必须满足所有签名方权重之和等于总权重的要求。

通过设置阈值和权重，波场多签机制可以提高合约的安全性，防止合约被未经授权的操作所篡改或者被攻击者利用进行恶意操作。

波场多签骗局

波场的权限提升和Approve（授权）是有着区别，授权后影响的只有授权过的这个Token；而权限提升则会导致波场地址权限的变更，从而失去了对地址的管理权限。 波场恶意的权限提升，多发生于一些使用TRC20充值的过程中，例如以优化的价格购买加油卡、礼品卡、使用一些验证码平台充值等途径，利用了人们贪图便宜的心态进行布局。当用户使用他们提供的链接进行充值的时，就会调用恶意权限提升的代码，当用户直接确认并输入密码签名后地址的权限便发生了变更，不受管理。下面的是一个典型的恶意更改账户权限案例。

通过恶意网站的充值入口跳转到钱包中打开，收款地址填写的是USDT的合约地址，如果细心的人会发现异常。点击立即支付，提示不要复制地址进行转账，这个是为了防止用户绕过恶意代码执行转账。

点击确认后弹出详情界面，在界面中通过三个箭头所示的位置提示正在进行的操作以及操作后可能带来的风险。点击第二个箭头位置，可以查看权限提升的的作用和风险，如果无视风险提示并执行了确认操作，就会导致权限提升，钱包地址被恶意多签，这时再进行转账就会看到错误的提示信息。

多签设置的初衷是为了更好的保护用户资产，但是被骗子精心利用后会成为其盗取资产的工具，所以请一定要认真查看钱包中出现的每一个提示，这些内容都是经过大量考证后才会添加的信息，适用于绝大多数用户。

多签骗局防范

TokenPocket很早就支持了波场权限提升操作的预警提示，只需要认真的查看钱包中出现的提示信息就可以绕过大多数的骗局。同时请不要相信网络上虚假宣传的各类礼品卡、加油卡、验证码等网站，更不要参与他们的充值，尤其是提供充值跳转服务的链接，正常的充值类服务，只需要使用对方的收款地址转账就可以完成操作。

如果遇到类似的诈骗链接，请发送到官方邮箱：service@tokenpocket.pro 进行举报，官方验证后会对链接进行本地化处理，防止更多TokenPocket用户上当受骗。

关于Permit2

Uniswap 发布了新的Token授权标准 Permit2，区别于传统的 ERC20 和 EIP-2612, Permit2 协议具有节省 gas、可批量操作授权/转账且比传统 ERC20 approve 更灵活，并且支持一站式的授权管理。

Permit2 协议让其他应用可以从整合这些合约中大大受益。Uniswap 本身致力于建设公共基础设施，因此设计了这些合约，提供整个开发者生态系统使用，包括广泛的文档、SDK。

为了说明 Permit2 的革命性，让我们回顾一下之前的解决方案，以合约需要移动 Alice 的Token为例。

传统授权模式

传统的执行方式是如下图所示的执行过程。

1、Alice调用ERC20上的approve()来授予合约的支配限额。

2、Alice在合约上调用一个交互函数，该函数又在ERC20代币合约上调用transferFrom()，移动她的代币。

显然，这个模型是可行的(它是普遍存在的)，并且最终可以非常灵活，因为协议通常会不间断地长期访问用户的代币。

授权合约默认获取最大数量的支配代币的权限，并且没有时间的限制，不同的DApp首次执行都需要授权一次，具有很大风险。

但它面临着两个众所周知的现实问题:

• 糟糕的用户体验：用户必须授权他们打算使用的每个代币上的每个新协议，而这几乎总是一个单独的事务（例如在uniswap中执行了某个代币授权，但是如果使用 transit 依然需要重新进行approve）。

• 糟糕的安全性：合约通常都会要求无限的授权额度，并且每使用一个swap或者其他合约都用都需要执行一次approve。这意味着，如果该协议被利用，每个用户授权该协议消费的代币都有可能把用户的授权代币全部转移。（例如我们经常会遇到的代币使用授权，例如操作DeFi需要授权，进行兑换需要授权，不同的DApp首次使用都需要授权）

Permit（EIP-2612）模式

EIP-2612 对代币的授权进行了迭代。用户可以通过在他们的交易中附加一个授权签名（Permit）信息来与应用合约交互，而不需要事先授权。

让我们看看 ERC20 的 EIP-2612 扩展所启用的方法，它通常是这样的：

Alice 签署一个链外的 "permit(签名授权)" 信息，表示她希望授予一个合约一个（EIP-2612）代币的使用权。

1. Alice 提交签署的消息，作为她与所述合约交互的一部分。

2. 合约调用代币上的 "permit()" 方法，它会使用签名授权信息和签名，同时授予合约一个授权。

3. 合约现在有了授权，所以它可以在代币上调用transferFrom()，转账由 Alice 持有的代币。

   由于Permit (EIP-2612) 需要把相关方法写入ERC20代币合约内，所以已经部署的ERC20合约无法进行支持。

这解决了典型 ERC20 授权方法的两个问题： ● 用户不需要额外提交一个链上的approve()交易。 ● 由于省掉了一笔链上操作所以可以通常可以选择一个更合理的授权额度，而不是无限大，更重要的是在签名授权消息时可以设置一个到期时间。 虽然 EIP-2612 使代币授权更加安全，但在 EIP-2612 之前推出的代币并不支持签名授权功能，而且并非所有较新的代币都采用该功能。因此该协议很难大范围的使用。

Permit2 授权模式

Permit2 结合了这两种模式，将 EIP-2612 的用户体验和安全优势扩展到也涵盖了普通的 ERC20 代币!

1. Alice 在一个 ERC20 上调用approve()，典型的方式为的 Permit2 合约授予一个无限的授权。

2. Alice 签署一个链下 permit2 消息，该消息表明协议合约被允许代表她转账代币。

3. Alice 在协议合约上调用一个交互函数，将签署的 permit2 消息作为参数传入。

4. 协议合约在 Permit2 合约上调用 permitTransferFrom()，而 Permit2 合约又使用其授权（在 1 中授予）在 ERC20 合约上调用 "transferFrom()"，转账 Alice 持有的代币。

   将授权给与Permit2后，使用了Permit2协议的DApp 只需要进行一次712的本地签名就可以，不需要额外的链上approve，降低了Gas费用，增加了易用性和安全性。授权具有时限性，例如授权一个月，那么一个月时间过期后下次使用同样只需要一次712签名即可。

协议不会直接调用 ERC20 代币上的transferFrom()来执行转账，而是调用规范的 Permit2 合约上的permitTransferFrom()。Permit2 位于协议和 ERC20 代币之间，跟踪和验证 permit2 消息，然后最终使用其授权直接在 ERC20 上执行transferFrom()调用。这种间接性使得 Permit2 可以将类似于 EIP-2612 的好处扩展到每一个现有的 ERC20 代币上。

传统模式和Permit2 模式的一组实际执行比对

传统授权模式，默认最大数量授权给DApp执行合约，授权后即可进行兑换操作。

首次授权会授权给Permit2 合约，授权后需要用户进行一次签名（链下），前两步执行成功后才可以进行兑换。

Permit2 可能存在的风险

Permit2 衍生于 EIP 2612，属于一种拓展的 EIP 20 协议，所以归根到底，Permit2 只是 ERC20 的一种补充，而不是取代。毕竟 Permit2 并没有可以直接继承现有所有的 ERC20 数据，所谓的一站式管理，本质上还是需要调用 ERC20 合约的 approve 操作来完成一些初始的操作。

Permit2 完整的流程应该是

1. 用户将 ERC20 代币的最大授权给到 Permit2 合约

2. 用户通过 permit 函数对 Permit2 合约中的具体授权进行管理

3. 第三方协议和用户可以根据 Permit2 中已有的授权信息通过 Permit2 合约作为中间人实现代币的转移。

Permit2 协议具有的优点

1. 统一的代币管理

2. 可控制的授权时间

3. 不用每次都多发一笔交易来进行授权

Permit2 协议可能存在的风险

1. 号称解决了 infinity approval 的问题，但实际只是把授权对象从需要交互的 DApp 转变成了 Permit2 合约，集中管理授权对 Permit2 合约的安全性有着更高的要求。

2. 虽然说代币授权有过期时间，但是这个时间依旧可以无限大，还是需要各个Dapp合理的设置过期时间。

3. 由于调用 permit 函数的过程可以不发送交易而是只提供签名给第三方代发，如果是做钓鱼的话可以做得更加隐蔽，用户检查签名消息的成本提升，某些第三方钱包可能不会对签名信息进行解码展示，导致用户被攻击的风险更高。

• 优点和风险同时存在，这就需要我们具有一定的辨别能力，具体到钱包方也需要对后续可能大范围支持Permit2 有一个提前的防范，（现在TokenPocket 还没支持 Permit2 的解析，后面很快会支持。）例如TokenPocket 现在的授权风险提示等弹窗，就可以很好的把风险内容进行展示，从而避免因为钓鱼或第三方恶意授权等风险。

• 不要随意打开不明来历的网站并执行，一定要使用正规的DApp并尽可能的控制好授权给合约的代币数量，时常用授权检测工具进行检查。

为协助用户远离“零金额”钓鱼诈骗，TokenPocket 安卓1.6.6版本针对“零金额”转账进行了优化，推出【隐藏小额交易】的新功能！

为什么“零金额”转账记录会出现？

“零金额”转账操作是直接通过USDT代币的 TransferFrom 功能执行的，任何地址都可以被调用并在钱包中生成一个记录，在授权记录中生成一个空白的记录。

这种操作目的就是为了模拟从用户地址转出的记录，结合伪装地址的方式来诱导用户误操作进行转账，它并不能对你的资产产生任何风险，但是请一定要注意这种可能误操作的执行。

如何隐藏小额交易功能？

1.打开TokenPocket钱包（安卓1.6.6以上版本支持隐藏小额交易），点击任意资产进入交易记录页面，此处以USDT为例。点击右边的设置图案（如图）。

2.打开【小额隐藏】设置开关，输入您所需要设置的小额额度，点击【保存修改】即可成功设置。

请注意：设置后，当前网络小于您所输入的小额额度的所有交易记录将被隐藏。

3.设置隐藏小额交易成功后，所有小额钓鱼转账记录将会被隐藏。您可以通过下图清楚看到隐藏前后的交易记录对比。

钱包安全功能的不断完善，在帮助用户更好地保管资产的同时，也在提醒各位用户，进行钱包操作的时候要谨慎，在复制钱包地址进行转账的时候，一定要认真检查核对完整的钱包地址。提高钱包安全意识，才是保护钱包资产的前提！

1.下载认准TokenPocket唯一官网：https://tokenpocket.pro/。

近期，我们发现在谷歌等搜索网站上出现假冒的TokenPocket钱包下载链接。不法分子在搜索网站上大量投放假钱包广告，对此，TokenPocket官方已联系谷歌相关部门进行申诉，请各位用户不要随意点击下载链接，尤其是在谷歌等搜索工具中！ 远离假TokenPocket钱包！

2.认准TokenPocket钱包官方Logo！

目前，TokenPocket钱包官方下载Logo为下图左1的蓝底白色“TP”图案；其余logo均为假钱包的logo，请注意辨别！

3.留意钱包更新方式！

通过官网下载APK的安卓用户，可以根据APP内的提示按个人需求更新；通过Google Play、三星商店下载钱包的安卓用户，可以根据个人需求在Google Play、 三星商店内更新；通过App Store下载钱包的苹果用户，可以根据个人需求在App Store内更新。

针对近期其他钱包APK被劫持造成用户资产损失的问题引起部分用户对APK钱包下载安全性的担忧，TokenPocket在此声明，TokenPocket的APK下载会进行签名验证，同时，我们还有非常严格的审核机制，整个流程需要经历5个严格的安全审查，所以不会出现数据包被恶意替换的问题。因此用户不必过分担忧，TokenPocket将持续致力于技术安全服务，为用户提供安全的去中心化体验。

4.验证正版TokenPocket钱包

官网APK版本验证方法

TokenPocket APK可以通过MD5、SHA256两个值来确定是否是正版钱包。MD5、SHA256验证工具也称为文件哈希验证工具，通过计算文件内容哈希值的工具。通过工具可以快速计算文件的哈希值，计算出来的 Hash 值与官方给出的 Hash 值进行对比，可以验证文件内容是否被篡改。

Google Play版本验证方法

App Store版本验证方法

二、保护好您的私钥和助记词！

TokenPocket是一款去中心化自托管钱包，用户的资产是由私钥助记词控制的，也就是说，私钥/助记词是控制钱包资产的唯一凭证！

在您创建钱包时，TokenPocket会提醒您安全备份好您的钱包助记词，并保存在安全的地方。在备份助记词时，请认真检查并确保您备份的助记词的准确性。

看到以下安全提示，请您保管并备份好您的钱包密码，钱包助记词，同时，您也可以学习视频内容，谨记安全要点，提高钱包安全意识。

请注意，不可以把私钥、助记词跟任何人分享，TokenPocket官方也不会主动私聊您并要求您提供私钥助记词，请多加警惕！

三、谨慎授权，定期清理不必要授权和风险授权！

1.谨慎授权，不随意点击任何第三方链接！

近期，危险授权使钱包资产被盗事件高发，授权也成为了钱包操作中与安全息息相关的重要操作之一。为了避免用户随意授权，在您执行授权操作前，TokenPocket钱包增加以下安全提示弹窗，请您务必了解弹窗内的安全知识，并确认勾选以下安全提示。

请您不要参与来路不明的DApp，不要参与没有开源的DApp，不要参与没有审计报告的DApp，不要参与匿名团队的DApp，不要轻信社区传播的任何项目。

2.定期清理不必要授权和风险授权!

TokenPocket建议用户每周通过【资产】首页的【授权检测】工具定期检查钱包授权，取消不必要的授权和风险授权，保护钱包资产。

目前，TokenPocket授权检测工具已支持以太坊，币安链，波场链。

总结，钱包安全需要每一位用户上心，以上是能够最有效保护钱包资产安全的三大提示，也是最必要的三大安全操作。希望用户努力学习钱包安全知识，远离风险。

岁末将至，在此祝各位用户新年快乐！

在您创建钱包的过程中，您将看到以下安全提示，请您保管并备份好您的钱包密码，钱包助记词，同时，您也可以学习视频内容，谨记安全要点，提高钱包安全意识。

二、关于导出钱包的安全提示

1.导出私钥的安全提示

为了提高用户钱包安全意识，在您执行私钥导出操作的过程中，请认真学习并勾选安全要点，不要与任何第三方分享您的私钥！

2.导出助记词的安全提示

为了提高用户钱包安全意识，在您执行助记词导出操作的过程中，请认真学习并勾选安全要点，不要与任何第三方分享您的助记词！

三、关于转账的安全提示

1.合约地址转账提示

为了避免用户往代币合约地址转账，当您在转账过程中将合约地址设置为收款地址时，TokenPocket将会进行以下安全提示。

请注意，智能合约是由一个地址和该地址对应存储的代码构成的。例如在以太坊上发ERC20的Token，本质上就是创建了一个Token的智能合约，智能合约的代码决定了这个地址里的Token的所有内容。智能合约没有私钥，一旦转入合约地址，则有可能再也无法转出。

温馨提示，TokenPocket支持多签地址转账，当您往多签地址转账时，也会出现这个提示，是因为多签钱包地址本身就是一个智能合约地址，因此，多签钱包地址如果作为收款地址，那么可以正常的收到转账的资产。

点击了解> 为什么不能直接往合约地址转账

2.不同网络地址转账提示

以EVM兼容链为例，当您在转账过程中，将非EVM兼容链钱包地址设置为收款地址时，TokenPocket将会进行以下安全提示。

请注意，不同网络之间不能互相直接转账，如果收款地址都是EVM兼容链地址，可以通过将接收钱包地址的私钥助记词导入至发送方网络。例如 ETH、HECO、BSC、OKC等公链都是 EVM 兼容链，虽然其地址格式相同，但是这些地址的代币是不能直接进行转账的。

但由于这些公链属于EVM兼容链，所以他们的私钥可以互相导入。例如BSC链的代币转到了ETH链的收款地址，那么只需要把ETH链的私钥导入BSC钱包就能成功找回了。

3.风险地址转账提示

TokenPocket将针对链上诈骗钱包地址进行本地化风险标记，当您在输入收款地址后出现以下风险提示，请马上停止转账操作，注意资产安全！

4.多签地址提示

最近，波场多签钱包骗局层出不穷，TokenPocket针对波场多签钱包也进行了特别安全提示。当钱包转账过程中出现以下提示时，则您的钱包权限或签名权限被修改，是一个多签钱包。

同时，在钱包资产页面，针对波场多签钱包，TokenPocket也提供了以下安全提示弹窗。

请注意，当看到以上弹窗或安全提示时，请根据提示分析是否遇到骗局，并立即弃用当前钱包。

点击👉了解什么是多签钱包

点击👉了解常见多签钱包骗局

5.转账地址复制提示

近期，钱包出现了“0金额”转账以及“伪装地址”骗局，为了避免用户错误复制收款地址，TokenPocket增加了以下安全提示，请在转账前务必仔细核对收款地址是否正确。

建议经常有的资金往来业务的用户，在转账的时候核对好收款地址，对收款地址做一个完整的验证；其次，使用钱包地址簿转账的功能，将日常使用的钱包地址在通讯录中收录，转账时直接选择地址即可。

四、关于使用DApp的安全提示

1.进入DApp提示

在TokenPocket钱包内，当您点击进入DApp时，TokenPocket都会进行以下安全提示，来强调进入DApp的注意事项并进行常见骗局的科普。

请注意，不要进入任何来历不明的第三方网站，不要相信任何自称高收益的项目。TokenPocket仅作为钱包工具使用，所有第三方DApp都不属于TokenPocket，同时这些DApp都是由项目方控制，请您在使用前务必了解DApp的安全性！

2.进入风险DApp提示

TokenPocket将会对风险网站及被投诉网站进行本地化屏蔽处理，当您打开某DApp出现以下安全提示时，请停止所有操作，并退出该网站。

3.关于授权的安全提示

为了避免用户随意授权，在您执行授权操作前，请您务必了解弹窗内的安全知识，并确认勾选以下安全提示。

请您不要参与来路不明的DApp，不要参与没有开源的DApp，不要参与没有审计报告的DApp，不要参与匿名团队的DApp，不要轻信社区传播的任何项目。

五、关于代币安全提示

为了帮助用户规避“貔貅”、“假代币”等的安全风险，TokenPocket将会针对此类项目进行风险标记，如您在资产页面出现以下界面，请马上停止任何操作，并主动删除该资产！

六、钱包安全工具介绍

TokenPocket代币检测工具，目前支持检测erc20代币安全。

在DEX中完成代币交易是我们日常中经常使用的一个功能，因为代币交易平台去中心化的开放性，可以允许任何人或者团队上线不同类型的代币，在这个过程中有些不法分子就会在代币合约中做手脚，例如无法交易（貔貅）代币、有增发功能的代币等。这个时候就需要用到代币合约安全检测工具，虽然工具的检测无法保证百分之百的准确，但是它可以在很大程度上排除一些风险，选择更安全的代币进行交易。

使用教程

TokenPocket授权检测工具，目前支持ETH, BSC, TRON的授权检测及授权管理。

使用教程

七、 TokenPocket唯一下载渠道

近期，我们察觉在谷歌等搜索网站上出现假冒的下载链接。

在此提醒各位：不要随意点击下载链接，尤其是在谷歌等搜索工具中！！ 远离假TokenPocket钱包！！

谨记唯一的官方网站和下载链接！

>> tokenpocket.pro <<

点击查看> 官网正版钱包验证方法

本期安全知识科普为各位TokenPocket用户归纳整理了目前钱包内最重要的几个钱包安全提示，在帮助用户提高资产安全意识的同时，也希望各位用户能够认真，仔细地阅读钱包内的所有安全提示，保护钱包资产安全！

多签钱包概念

Multi-Sig表示多重签名，而多重签名是一种特定类型的数字签名，而此类型的签名将允许两个以上用户作为一组来进行签名。因此，多重签名则通过多个单一签名的组合来产生。

举例来说，想像有一个拥有两把锁和两把钥匙的保险箱，一把钥匙由A持有，另一把则由B掌管。打开此保险箱的唯一办法就是A和B两个人同时提供钥匙开锁。如果你只有其中一把钥匙，是无法打开这个保险箱的。

通俗来讲，就是把该钱包地址的资产控制权分到2个以上的人的手上，能够帮助用户更好的保护自己的钱包资产。

适用场景

1. 用于需要多人管理资产，避免资产被个人挪用；

2. 通过多签对资产进行多重加密，增强资产安全性；

3. 其他安全应用场景。

多签钱包创建

1、打开TokenPocket，首次使用点击【我没有钱包】，选择【多签钱包】进行创建。已经使用TokenPocket创建或导入过的用户也可以打开钱包后点击右上角第一个图标，添加多签钱包。

2、在多签网络中选择需要创建多签的网络，例如这里选择币安智能链，请认真阅读【多签创建流程】中的提示内容，阅读完成后点击下一步。

3、多签钱包创建的步骤是最核心的内容，下图中将每一个类型的内容进行了展示，内容如下: 【多签钱包名】和日常创建钱包名一样，可以自定义设置，并不会上链。

【设置管理钱包】设置多签钱包的，多签钱包有管理钱包共同进行管理和控制，最多支持30个管理钱包设置，可以理解为多签钱包的【阈值设置】。管理钱包可以灵活设置，适用于企业或团队资产管理或个人的多元化使用。

【最少确认签名数】可以理解为权重，区别在于EOS或TRON可以设置单个地址阈值大于等于1，而EVM链的单地址阈值只能为1。最小确认签名数建议设置大于2以上的数值，可以兼顾安全与便捷。

【费用信息】EVM链的多签方案实际上是一个智能合约，所以创建多签钱包需要一定的Gas（矿工费），这个费用并不是由TokenPocket收取。

【支付钱包】这里可以点击选择钱包中导入的钱包地址进行创建Gas（矿工费）费用的支付。 当一切设置妥当后，点击【确认】即可看到多签钱包创建中的提示，界面中可以点击跳转到以太坊区块链浏览器上查看相关创建信息。

4、耐心等待合约部署成功后就完成了多签钱包的创建。点击钱包左上角菜单，在钱包列表中可以非常直观的分辨出多签钱包和单签钱包的区别，在钱包切换中会更加的方便。

5、多签钱包创建成功后，点击蓝色区域右上角【详情】在这里可以查看详情信息，主要有【多签队列】和【多签管理】两个分类。

6、多签队列中会显示生成的多签订单，可以点击并完成订单；多签管理中可以查看【最小确认签名数】、【链上最新Nonce】和【关联钱包】等信息，其中关联钱包就是管理地址，如果有未导入的地址，可以通过点击【导入该钱包】使用私钥或助记词导入，关联钱包的是否导入会影响后续的转账或DApp的使用的调用方式。

总结一下，EVM链上的多签钱包就是一个智能合约，它的使用和观察钱包有几份类似，创建多签钱包不需要备份助记词或私钥、不需要设置密码、不需要复杂的代码，和观察钱包有些类似。 创建多签钱包的重点是【管理钱包】和【最小确认签名数】的合理设置，只有经过合理的设置才能发挥多签钱包最大程度的安全和便捷。一般常用的多签有 2/3 、3/5等方式， 需根据个人情况进行选择。

多签钱包导入教程

多签钱包转账教程

多签钱包的优势

1.提高钱包安全性

在单签钱包中，决定加密货币所有权和管理权的私钥仅掌握在个人手中，一旦私钥丢失或持有者遗忘钱包私钥或助记词，那就意味着持有者失去了对该钱包地址的控制权，与其相关联的加密资产将完全丢失。而多签钱包的存在，最大程度降低了单个私钥丢失时的资产损失风险。

多签钱包极大地帮助用户减少了由于私钥丢失或被盗所引起的安全性事件。由于多签钱包是由2个或以上的钱包地址控制，即使出现其中一个钱包的私钥泄漏，也无法转移多签地址的钱包资产，这大大降低了资产被盗的风险。

以“2-3”的多签钱包模式为例，在全部3个私钥中，只要有2个私钥完成了签名授权操作就能进行相关加密货币的转移。即使有1个私钥丢失，还能通过剩下的2个私钥完成对资产的转移，避免资产损失。

2.多重验证避免错误交易发生

多签钱包还用来进行多重验证避免错误交易发生。银行汇款时，如果银行工作人员或者用户在输入账号的时候出现错误，交易就会失败，钱会退到原有的账户当中；区块链上的交易是不可逆的，一旦将加密资产转入到错误收款地址，该笔资产将无法退回。使用多签钱包，当出现某个私钥所有者发起一笔错误的交易时，其他私钥持有者在发现错误时可以通过拒绝签名而阻止该笔错误交易。参与签名验证的人越多，发生错误交易的可能性也越低。

那么如果一个普通的地址没有执行过Approve操作是否也可以被调用呢？

近期越来越多的用户反馈，在自己的USDT转账列表中会看到有**“0USDT”**被转出的记录，如下

大部分看到自己的地址被调用转出资产，第一反应会认为自己可能会有被恶意授权的风险，于是打开权限检测工具或浏览器查看自己的授权记录。

然而，浏览器上只出现了“已取消”的提示，如下图，

在授权列表中发现了一条授权记录，但是在右侧发现【已取消】的提示，点击箭头查看授权和取消的记录

查询后发现，授权变更记录中的内容也是空白的，这个时候用户彻底陷入迷茫中。

别担心! 让我们一起来还原这一操作。

1、打开波场浏览器，找到USDT合约地址，点击【合约】--【编写合约】--【8.transferFrom】

2、在这里分别填入发送地址、接收地址和数量，然后点击【Send】利用插件钱包完成签名后就可以看到底部绿色的【true】说明执行成功，如果这里的数量设置其他，那么会提示已发送的内容，但是因为对方并没有可以调用的数量，所以无法执行成功。这里消耗的TRX由对方来买单，这个可以放心。

3、执行成功后，我们继续查看这个地址的授权信息，果然是又增加了一条空白的记录。

到这里，相信大家应该对这种问题发生的原因有了充分了解，说明任何地址都可以被拿来调用，只是这种方法是徒劳的。

它并不会让我们的资产有任何的风险，它只会让不明白原因的小白受惊一场，他们的最终目的还是想让你使用错误的地址来触发误转账来谋取利益。同时你也可以了解关于 ”精准伪装地址“的盗币方式

这种调用在其他EVM链上同样适用，之前的高仿尾号地址诈骗方式是主动转入的方式，现在的这种调用是一个转出的方式，对于触发误操作的迷惑性会更强。骗子的骗术更新很快，大家要多注意。

针对大家比较疑惑的几个问题进行下解读：

1、为什么我的资产会被调用？

这种操作是直接通过USDT代币的 TransferFrom 功能执行的，任何地址都可以被调用并在钱包中生成一个记录，在授权记录中生成一个空白的记录。

2、出现这种情况，我的资产还安全吗？

这种操作目的就是为了模拟从用户地址转出的记录，结合伪装地址的方式来诱导用户误操作进行转账，它并不能对你的资产产生任何风险，但是请一定要注意这种可能误操作的执行。

3、 TokenPocket安全措施

您可以在 TokenPocket内设置隐藏小额交易的功能

点击查看👉设置教程

冷钱包：也称离线钱包或者断网钱包，区块链钱包种类之一，意指网络不能访问到用户私钥的钱包。冷钱包通常依靠“冷”设备（不联网的电脑、手机、硬件设备等）确保钱包私钥的安全，运用二维码或蓝牙通信让私钥不触网，避免了被黑客盗取私钥的风险。

热钱包：也称在线钱包或者联网钱包，区块链钱包种类之一。因其联网特性，操作中可能会受到一些病毒或脚本等不安全因素的干扰导致资产处于风险之中，因此安全性比冷钱包低，但比冷钱包更便利。

观察钱包：观察钱包本质上是一个观察特定地址链上数据的区块浏览器。 用户只需使用观察钱包导入账户（公钥）或地址即可拥有便捷的使用的体验，通过观察钱包可以查看账户（地址）资产，交易记录等内容。 因此观察钱包是无法直接进行转账等链上操作的，若需要转账可将私钥或助记词导入钱包或搭配冷钱包授权使用。

**硬件钱包：硬件钱包是冷钱包的其中一种，是指将数字通证资产的私钥单独储存在一个有配置安全芯片的、与互联网隔离的、即连接即用的硬件设备。

冷钱包和热钱包的区别

附：硬件钱包运行方式

硬件钱包是基于安全芯片设计的编程物理设备，用于存储使用者的私钥，除个人疏漏或主观原因之外，是目前最不容易泄露的、被用户所采纳的用于保护区块链数字通证资产存放物理设备。TokenPocket目前已支持连接KeyPal硬件钱包。

如何在TokenPocket使用观察钱包和冷钱包？

1.在观察钱包执行转账/交易操作时，会弹出以下二维码扫码提示【使用对应的冷钱包扫码签名】，打开对应的冷钱包，点击【扫码签名】按钮进行扫码。

2.核对签名信息无误后，冷钱包页面会弹出【使用对应观察钱包扫码完成操作】的提示，打开对应观察钱包，点击弹框下的扫码按钮进行扫码，即可成功发送交易。

总结

在通过了解冷钱包和热钱包的区别后，选择一种钱包储存您的加密资产至关重要。在选择的过程中，钱包安全性应该是最高优先事项。冷钱包在不联网状态下更好地保护了钱包私钥的安全性，在这一方面，冷钱包的优势是显而易见的。当然，也会有用户更偏向于方便快捷转移加密货币及实现快速在线交易，从而选择热钱包。这就需要使用热钱包的用户，更加谨慎地备份您的私钥或助记词，并保存在安全的地方，不要丢失和泄露。

TokenPocket诚邀您参与钱包问卷调研👬！

为了更好的了解用户在使用TokenPocket中遇到的问题，提升我们TokenPocket的产品及服务。我们诚邀您花费2-3分钟的时间，填写以下问卷，以便我们更好的了解您的需求，给您提供更加优质的产品和服务。TokenPocket感谢您的支持！

参与调研有机会获得最高价值$100的奖励👉https://www.wenjuan.com/s/UZBZJvlxogP/#

每一个用户的反馈，TokenPocket都会用心对待❤️！优秀建议被采纳后将获得最高$100的奖励！

关于TokenPocket

TokenPocket是全球领先的多链自托管钱包，支持BTC、ETH、BSC、TRON、Polygon、Solana、HECO、Klaytn、Avalanche、OKC、HSC、Fantom、Polkadot、Kusama等主流公链。TokenPocket移动钱包、chrome插件钱包、硬件钱包三位一体已经正式形成。私钥和助记词存储在用户自己的设备中，用户可以完全控制自己的加密资产。 TokenPocket 已为全球超过 2000 万用户提供可靠的服务。月活跃用户数超过350万，用户遍布全球200多个国家和地区。

| 网站 | 推特 | Telegram | 插件钱包 | 硬件钱包 | 论坛 |