硬件钱包怎么买才安全，我们已经单独写过。这篇只盯一件事：安卓侧拿到的 .apk 到底是不是官方包。假包常见套路不是改图标，而是改请求域名、加无障碍权限、或在登录页叠一层钓鱼输入框。
什么时候你会碰到 APK
- 应用商店所在地区没有上架，官网提供「Android APK」。
- 商店版更新滞后，官网放出热修包。
- 有人把「最新版」发到群文件、网盘、短视频置顶评论。
第三条路径默认不可信。前两条也要验，因为官网也可能被搜索广告劫持到仿站。
验真前准备
1. 用浏览器手动输入你确认过的官方域名（或书签），不要点搜索第一条广告。 2. 在帮助中心 / 下载页找到官方是否公布：包名（applicationId）、签名证书指纹（SHA-256 / SHA-1）、文件哈希（常见 SHA-256）。没有公布任何一项时，优先改走官方商店渠道。 3. 下载后先把文件放到电脑或可信设备上核对，再拷进手机安装（可选，但更稳）。
第一步：核对文件哈希（下完立刻做）
官方若给出 SHA-256：
``bash # Linux / macOS 示例 shasum -a 256 your-app.apk # 或 sha256sum your-app.apk ``
Windows 可用 PowerShell：Get-FileHash .\your-app.apk -Algorithm SHA256。
- 完全一致才进入下一步。
- 差一位都算失败：重新从官网下，换网络后再试；仍不对就停，勿安装。
- 哈希只能证明「和官网公布的文件一致」，若你打开的是仿站，仿站也可以公布「匹配的假哈希」——所以入口域名必须先对。
第二步：核对签名证书指纹
安装后（或用 apksigner / keytool 对未安装包）查看签名指纹，与官网「签名 / Signing」说明对比。
- 同一应用的正式签名在版本迭代中通常保持稳定；突然变成另一套指纹，要高度警惕。
- 调试签名、共享签名、或「某助手重签名」的包，即使功能看似正常，也不应登录真实账户。
手机上可用可信的「应用详情 / 签名查看」类工具（来源同样要官方），对比 SHA-256 指纹字符串，区分大小写与冒号分隔格式，复制时勿混入空格。
第三步：核对包名与权限面
- 包名必须与官网一致（形如
com.example.app）。仿包常用多一级后缀、多一个字母等手法。 - 打开系统设置 → 应用信息：看是否索要「无障碍」「设备管理器」「读短信（非验证码场景）」「全部文件访问」。官方帮助中心未说明的敏感权限 = 红灯。
- 桌面图标名、启动图高度相似不能当证据；只信包名 + 签名。
安装期的额外习惯
| 习惯 | 原因 |
|---|---|
| 临时开启「未知来源」，装完关闭 | 缩小其它 APK 混入窗口 |
| 不给「自动安装其它应用」类权限 | 防止连锁改包 |
| 第一次打开先断网看本地提示 | 部分恶意包会立刻外连；异常可先卸载 |
| 登录前再对一次版本号 | 与官网「最新版」说明一致 |
和商店版怎么选
- 能走 Google Play / 手机厂商官方应用商店且开发者主体一致时，优先商店（仍要看开发者名，防同名山寨）。
- 必须 APK 时：哈希 → 签名 → 包名，三步缺一就降级处理（只用小额测试账户或不装）。
- 已装可疑包：不要「覆盖安装试试」。先卸载，换官方包，并修改该账户密码与 2FA（假设凭据可能已泄露）。
风险边界
本文介绍公开可核验的完整性核对方法，不保证识别一切供应链攻击或零日篡改，也不构成投资建议。若官方从未公布哈希与签名，请勿仅凭「群里都说是真的」安装。任何要求你关闭系统安全检查、安装「证书」或开启无障碍才能继续登录的指引，应直接中止。
