老周把手机怼到我面前时，屏幕正卡在一个灰色的进度条上。他第三次从浏览器里搜“k豆钱包安卓下载”。
点进去的全是广告墙。一个下载按钮套着三个跳转，最后装上的却是某小说阅读器。他骂了一句，说只想找个安卓安装包，怎么像在雷区散步呢？我拿过手机，发现他访问的域名拼写多了个连字符，页面底部堆着“高速下载”“官方推荐”的彩色标签，点哪个都先下一堆全家桶呢？这个细节很典型，搜索词越具体，山寨站越爱埋伏的。我让他先退出浏览器，去常用应用市场搜“k豆”。他摇头，说同事讲应用市场没有，只能去官网。我告诉他，安卓生态里“没有”一般分两种，一种真没上架的，一种被仿冒包挤到搜索后排。
我们试了三个渠道，手机自带商店、第三方市场、以及同事发来的链接。自带商店结果里有个图标相似、名字多一个空格的家伙，评论全是“打开就闪退”。
第三方市场倒是有一个，详情页的开发人员信息是空白的。同事的链接反而最可疑，apk文件大小只有2.3MB。正版工具不能这么小。我找到k豆钱包安卓下载的官方页面，步骤不复杂，却需要耐心。页面没有花哨的“立即下载”弹窗，只有版本号、更新日志和一行SHA-256校验值了。我们下载完apk，先断网安装，系统弹出“未知来源应用”警告，正常的。安装后别急着登录，进设置看应用签名和包名，再和官网公布的指纹对照。老周嫌麻烦了，说以前装软件从没这样。
我回他，以前你也没丢过币吧？他愣了下，老老实实核对。
两串字符对上的那刻。他才松了口气。装好之后，老周盯着钱包首页看了半天，忽然问，为什么同样的安装包呢？
有人能做成陷阱的？我解释。安卓的开放性让分发渠道变多，搜索引擎的广告位又按竞价排名，普通人很难分辨了。一个真实的官网不会买精确词，反而山寨站会。它们用“下载”当诱饵，把签名不匹配的包塞进来，等你输入助记词。再同步到远端。老周听完，把手机里的旧apk全删了，连那个多空格的图标也没留。那天下午我们没聊什么大道理啊？
只做了一件事，把官网地址存进书签的，把校验值抄在备忘录里。老周后来跟同事说，找k豆钱包的安装包，不要信搜索结果第一屏的“官方”角标。
同事笑他太谨慎。他回了一句。我的钱又不会因为你的笑变多。这话糙的，挺实在。
安卓手机装钱包。本来就不该是一场赌运气的游戏。
