档案 · 2019 → 2025
关于 TP钱包中心
TP钱包中心是一套面向中文用户的多链钱包内容与操作入口站。从 2019 年立项到现在，我们做的大部分工作都围绕同一个约束展开：助记词与私钥只写入你自己的设备，同时把多链资产、使用记录与节点配置整理成可查、可核对、可回滚的站内路径。
- 立项年份
- 2019
- 当前稳定版本
- v6.4
- 主流公链支持
- 42 条
- 站内索引条目
- 320 余条
非托管不是可选项，是设计前提
在很多产品里，「要不要自己保管私钥」是一个可以勾选、也可以取消的开关。在 TP钱包中心的设计里，这个开关并不存在。助记词与私钥在生成的那一刻起就只写入本地设备，我们不在任何服务器上保存、代管或代为签名——不是功能上做不到，而是一旦这么做，钱包就不再是钱包，而变成了别人名下的一个账户。
这个前提会带来一些不方便，我们从不绕开：设备丢失且没有备份过助记词时，资产无法通过我们找回；换设备时需要你重新导入；任何一笔签名都必须由你在本地确认，客服无法代劳。这些代价换来的，是一个更明确的事实——你对资产的控制权，不会因为某家公司停运、改条款或者出现流动性问题而发生转移。
同样的边界也体现在导出上。桌面端支持导出观察地址，导出物是一串只读地址，可以查看资产动态，也可以用于换设备后重新登录，但它不含私钥、不能发起转账。观察地址的价值在于「看得见」，而不在于「动得了」。
- 提供客户端同步说明与版本变更记录
- 公开每一轮安全审计的结论与整改项
- 维护站内索引、操作指引与故障排查路径
- 保存、代管或代为恢复助记词与私钥
- 代替你在链上签名、发起或拦截转账
- 冻结、追回或撤销任何已经上链的交易
六年，一条可以回看的线
下面这些节点按时间排列，每一条都对应着后来在客户端里能摸得到的东西：一个模型、一层适配、一次导出能力，或者一栏可以回滚的配置。
-
2019
立项，非托管密钥模型定型
项目启动的同一年，第一版密钥模型一并完成定型：助记词生成、本地加密存储与签名确认全部留在设备侧。这个判断后来决定了几乎所有后续架构，包括为什么我们始终不设服务端账户体系。
-
2021
多链管理框架上线，接入首条非 EVM 链
多链管理框架第一次把 EVM 与非 EVM 链放进同一个界面里组织。链与链之间的差异被收敛到适配层，用户侧看到的仍然是同一套查看资产与交易状态的动作。
-
2022
桌面端与移动端分线，观察地址导出上线
两条客户端开始各自迭代。桌面端获得导出观察地址的能力，导出物为只读地址，供换设备后重新登录并追踪资产动态；移动端把重心放在钱包使用记录查询上，可筛选近期交易与授权历史，默认展示近 90 天记录。
-
2023
节点配置进入多版本保留
节点配置栏开始保留最近 3 个版本供核对与回滚。这个机制主要服务于故障排查：当连接异常出现时，可以先确认客户端所处版本，再决定是否回退，而不是在信息不全的情况下反复重装。
-
2024
中文站站内索引完成结构化重构
索引条目按「同步与登录」「记录查询」「观察地址」「配置核对」「故障排查」五组重新归类，当前收录 320 余条，保持月度扩充，每次扩充随公告中心发布一条索引更新公告。版本口径在索引与公告两个栏目之间完全一致。
-
2025
进入 v6.x 系列
当前稳定版本为 v6.4 系列，桌面端 v6.4.2、移动端 v6.4.7。发布节奏维持每两周一次小版本、每八周一次特性版本，版本号采用「主版本.特性版本.修订号」三段式编号，便于逐位核对。
六条不参与讨论的原则
它们不是营销口径，而是每次版本评审时被反复用来否决需求的那几条。
-
01
私钥只写本地
助记词与私钥不进入任何服务端存储，也不提供代管或代为恢复的路径。设备丢失而未备份，资产即不可通过我们找回，这是前提而非例外。
-
02
记录查询是本地读取
钱包使用记录查询在客户端内完成，筛选条件与结果都不需要上传。默认展示近 90 天记录，可按链与类型切换。
-
03
导出只给只读地址
观察地址导出的产物是地址串，用于查看资产动态与换机后重新登录，不含私钥，也不能发起转账。
-
04
版本可核对，也可回滚
节点配置保留最近 3 个版本，任何改动都留有退回的位置。回滚是为了排查，不是为了掩盖问题。
-
05
索引与公告同一口径
版本号、条目数、发布时间线索在两个栏目中必须完全一致。两处数字对不上，就是文档缺陷，按缺陷流程处理。
-
06
不承诺收益，也不给建议
站内所有涉及资产的动作只使用查看、筛选、核对、导出、回滚这类中性描述，不做收益率宣传，也不对任何标的给出看法。
多链管理框架是怎么长出来的
多链不是把链接口并排放着就算完成。EVM 链之间的差异很小，账户模型、地址格式、签名方式大体可以共用一套处理方式；非 EVM 链则要在账户结构、手续费计算和交易构造上分别处理。我们的做法是让适配层吸收这些差异，界面上只保留一套动作：查看余额、查看交易状态、筛选记录。
当前稳定支持 42 条主流公链，覆盖 EVM 与非 EVM 两类。链列表随版本迭代维护，新增或调整会先进入节点配置版本记录，再随发布节奏同步到客户端。
自定义链是一条留给用户的出口，也是一条有边界的出口。你可以自行添加链，但接口参数需要由你确认来源；自定义链上的资产能否正常显示，取决于所填节点是否响应。我们不替任何第三方节点做可用性背书。
外部校验，然后逐条改掉
密钥存储与签名流程累计完成 9 轮第三方安全审计。审计方由外部独立机构承担，我们不点名具体机构，也不把审计结论当作背书材料使用。每一轮的结论都完整公开在公告中心，供任何人查阅。
对我们来说，审计报告的价值在整改项，而不在结论页。每一份报告中的问题都会被拆成可执行条目，进入后续版本的迭代清单，并在版本记录中说明修复所处的位置。已经修复和暂未修复的条目，我们都会写清楚。
- 01 密钥生成与本地加密存储路径
- 02 签名确认与交易构造流程
- 03 观察地址导出的只读属性校验
48 个人，7 个时区
团队不集中在一个城市，而是按职责分布在不同时区，靠固定节奏对齐，而不是靠一间办公室。
核心团队 48 人，分布在 7 个时区，角色覆盖钱包客户端研发、链适配、安全工程、文档与支持四类。采用远端协作加双周同步的方式运作：日常靠文档推进，双周做一次全量对齐，把需要共同决策的部分集中处理。
之所以不把所有人聚到一个点，原因很直接：多链钱包的技术面本身就是跨时区的，链的生态、节点状态和用户问题不会在同一个工作时间段里发生。让值守覆盖更长的时间跨度，比让办公室坐得更满更实际。
- 团队规模
- 48 人
- 分布时区
- 7 个
- 职责类别
- 4 类
- 全量同步
- 每两周一次
从这里继续往下走
故事讲完了，接下来是具体怎么做。以下入口分别对应同步、查询、变更记录与使用边界。