SHA-256 哈希校验已启用
数字钱包安装包一旦被第三方植入木马或篡改签名，极易导致助记词泄露与转账地址劫持。哪怕篡改安装包的 1 个字节，其计算出的 MD5 与 SHA256 哈希值（Hash）也会彻底改变。在安装 OKPay、GOPay、TOPay、K豆（K-Bean）及 EBPay 前，请务必通过下方本地哈希计算器或参数比对工具核验文件指纹。
纯浏览器本地运算（Web Crypto API），APK与IPA文件不会上传至任何服务器
提示：系统支持自动剔除首尾空格及冒号分隔符，输入满 32 位（MD5）或 64 位（SHA256）即刻实时匹配。
请在左侧粘贴安装包计算出的 MD5 / SHA256 字符串，或直接点选刚下载的 APK 安装包。系统将与五大数字钱包官方签名指纹库进行逐位核对。
当前有效十六进制字符长度为 位。标准的 MD5 应为 32 位十六进制字符（0-9, a-f），标准的 SHA-256 应为 64 位十六进制字符。
您输入的哈希值与 OKPay、GOPay、TOPay、K豆及 EBPay 官方发布的任何正式版/备用版均不一致。该安装包极可能是被植入剪贴板劫持木马的盗币假钱包或经过二次篡改的渠道包。
收录 OKPay、GOPay、TOPay、K豆（K-Bean）及 EBPay 当前主流安卓 APK 与 iOS 企业签/TF 发行包原始校验码。点击“带入校验台”可一键核验。
| 钱包名称与版本 | 运行平台 / 标准文件名 | 文件体积 & 签名指纹 | 官方 MD5 (32位) & SHA-256 (64位) 校验值 | 快捷操作 |
|---|---|---|---|---|
|
|
|
MD5
SHA256
|
|
除了使用本页顶部的浏览器离线计算器，您还可以使用 Windows、macOS 或安卓系统自带工具在完全断网的状态下独立核算 APK 安装包哈希值。
在电脑上下载好 OKPay 或 GOPay 的 APK 安装包后，按下键盘 Win + R 输入 cmd 打开命令提示符，进入下载目录执行以下命令：
certutil -hashfile （注意末尾空格）后，直接把安装包拖进黑框，再输入 SHA256 回车即可。
如果在安卓手机上直接下载了 APK 文件，切勿点击安装弹窗中的“直接打开”，先核验文件的属性摘要与开发者签名证书：
苹果电脑用户可打开“终端（Terminal）”执行 `shasum` 命令；iPhone 用户安装企业签名版时需重点核对描述文件与企业证书名称：
黑产团队通常会克隆 OKPay、GOPay、TOPay、K豆或 EBPay 的官方界面，重新打包生成高仿 APK，并通过搜索引擎竞价广告、电报（Telegram）假冒客服私聊或群内虚假“空投福利链接”诱导用户下载。即便界面一模一样，假安装包在底层特征上必定露出以下五大破绽：
假包因没有官方私钥签名，安装时要么提示“与已安装应用签名冲突”，要么在桌面上生成两个一模一样的 OKPay/GOPay 图标。
刚打开就弹窗要求开启安卓「无障碍服务（Accessibility）」或「读取全部短信/通讯录」，旨在后台自动点击授权并拦截验证码。
| 核验维度 | 官方正版客户端 (OKPay / GOPay 等) | 盗币假钱包 / 二次篡改木马包 |
|---|---|---|
| SHA256 / MD5 哈希值 | 与官方版本公示表 100% 吻合，固定版本哈希值永不改变 | 注入木马代码后体积与哈希值完全改变，每次下载甚至动态变化 |
| V2/V3 开发者签名证书 | 沿用官方唯一私钥签名，支持平滑覆盖升级旧版本 | 使用伪造测试证书重签名，无法覆盖正版，或伪造包名生成双图标 |
| 助记词与登录安全逻辑 | 正常使用手机号/账号密码+谷歌验证器，绝不无故弹窗索要助记词 | 谎称“账户风控解冻/防冻卡升级”，诱导填写私钥、支付密码或U盾口令 |
| 系统剪贴板调用行为 | 仅在用户主动点击“粘贴收款地址”按钮时单次读取，绝不篡改内容 | 后台常驻监听剪贴板，一旦检测到 TRC20/ERC20 或钱包地址立即替换为黑客地址 |
| 分发渠道特征 | 官方认证导航站、APP 内置在线更新通道、官方验证备用域名 | 电报私聊主动发来的安装包文件、带小尾巴的短链接、高仿谐音域名 |
“剪贴板劫持木马”会在您复制收款地址并切换窗口的 0.1 秒内，将剪贴板里的正版地址替换成头尾字符高度相似的黑客地址（即“靓号尾数伪造攻击”）。在向 OKPay、GOPay、TOPay 等钱包发起大额转账前，请逐项勾选下方自查表：
如果您在上方校验工具中发现 APK 哈希值不匹配，或者已经不慎在手机上安装并打开过来源不明的 OKPay / GOPay 安装包，请立即按照以下四步执行安全隔离：
第一时间开启手机“飞行模式”并关闭 Wi-Fi，阻断木马向远端黑客服务器回传本地截屏或剪贴板数据。随后进入系统设置，关闭该可疑应用的“无障碍服务”与“悬浮窗”权限并彻底卸载。
若您曾在假钱包中输入过账号密码、支付口令或助记词，请立即借用另一台未受感染的手机登录正版钱包，修改登录密码、重置支付密码、解绑可疑登录设备并转移可用余额。
若安装包 SHA256 经本页比对100% 为官方正版，但华为鸿蒙或小米澎湃 OS 弹窗拦截提示“发现支付风险”，这属于国产手机对数字货币类 APP 的统一策略限制，并非假包。
查看国产安卓高危误报解除教程欢迎将您发现的假冒安装包下载域名、异常 SHA256 值发送至我们的技术支持邮箱，协助更新全网防钓鱼黑名单库。
文件名可以随意重命名，但 SHA256 是根据安装包内部所有二进制代码生成的加密指纹。只要存在以下三种情况之一，哈希值就会不同：① 安装包尚未完全下载完毕（文件残缺）；② 下载自非官方渠道，已被植入盗币木马代码；③ 您下载的是旧版本历史包。若非网络中断导致的下载不全，请立即删除该文件。
这是两个完全不同的概念。SHA256 校验通过代表该 APK 确实由 OKPay / GOPay 官方团队编译发布、绝无木马篡改；而国产手机（华为纯净模式、小米澎湃守护等）对所有未上架国内应用商店的数字资产与区块链钱包均会触发统一策略拦截。只要哈希值与本页官方对照表一致，即可安全解除纯净模式完成安装。
强烈建议优先比对 64 位的 SHA-256 校验值。虽然 MD5 运算速度极快，但在密码学上已存在人为制造“哈希碰撞”的理论可能；而 SHA-256 具备极高的抗碰撞安全性，任何黑产团队都无法在植入木马的同时伪造出相同的 SHA-256 指纹。
若您下载了离线 `.ipa` 包（例如使用自签工具安装），可直接用本页工具核对 IPA 文件的 SHA256 值；若通过在线企业签名安装，请在「设置 → 通用 → VPN与设备管理」中核对企业级开发者证书编号，并警惕任何要求您额外安装“远程管理（MDM）配置描述文件”或索要 Apple ID 密码的钓鱼页面。