按这几条核完再判断：按步骤来

回答“28圈是官方的吗”之前，先把结论放在前头：这个东西不是看广告、看界面就可以下判断的，你得亲手核验。如果下面这三项可核对点全部吻合，基本可以认定你正在用的是官方客户端；但只要有一条对不上，就应该判定存在仿冒风险，马上停止充值、停止交易，并走官方渠道重新获取。这就是“核过才算、核不过就停”的规则。别信“差不多”“看起来像”这类说辞，每个核对步骤都有具体看哪里、对上什么才算的标准，下面我们逐条拆开。

可核对的判断依据（至少核这三条，缺一不可）

① 先看包体签名与版本标识

大多数仿冒包仿得出图标、仿得出界面，但仿不出数字签名。核对时直接看这两处：

• 安卓客户端：进设置→应用管理，找到客户端，点开“应用信息”查看签名。官方包所使用的签名指纹（SHA-256）是一串固定哈希值，目前官方渠道在 2026 年 8 月对应最新版本 v3.3.1 的签名指纹为 A1:B2:C3:D4:E5:F6:07:08:09:10:11:12:13:14:15:16:17:18:19:20（示例，请以官方公告的实际值为准）。如果你看到的指纹与官方公布的不一致，或者应用信息里根本没有签名详情，那就是仿冒品，别犹豫。
• iOS 客户端：核对 Bundle ID 与数字签名证书。官方 Bundle ID 为固定格式，如 com.official.circle（示例），并且必须是以 App Store 正式证书签发的。安装后可在“设置→通用→VPN 与设备管理”里查看描述文件，证书必须是由 Apple 签发的“iPhone Developer”或“Apple Distribution”且未过期。如果显示企业证书或未知作者，立刻删除。

版本号也是硬证据：截至写作时，官方安卓包最新公开版本为 v3.3.1，iOS 版版本号应与 App Store 页一致。核对的思路不是“版本号对不对得上”，而是“这个版本是不是从官方页面或商店直接出来的”。只要你不是从确认过的官方入口下载的，哪怕版本号写得一模一样，都不能算数——因为在仿冒包里填一个版本号没有任何难度。

② 再确认官方渠道公告与哈希值

正规平台会在自己的官方域名、官方社交媒体上发布安装包下载链接和校验信息。核对步骤分两步：

• 第一步，找到官方公告页。在浏览器里手动输入官方域名的网址，不要点击别人发给你的链接。官方域名的特征通常是：无多余前后缀、无长串随机字符、有企业备案信息。进去后找“下载中心”或“公告”页面，那里会明确告诉你当前最新安装包的 MD5 或 SHA-256 校验值。
• 第二步，本地计算安装包哈希。把你手里已经下载的 apk 或 ipa 文件（注意，是在你手机里的安装文件，不是安装后的应用），用校验工具（电脑端可用 CertUtil 或 sha256sum，手机端可用 Hashr 等工具）计算出 SHA-256 值，再和官方公告里的对比。完全一致才算过关。

这个动作可以一次性把仿冒包全滤出去——因为仿冒者没办法知道即将发布的官方包哈希，等官方公布了哈希，仿冒包就必须改文件，哈希必然对不上。

③ 最后检查数字证书与域名归属

如果你是通过网页打开或触发的下载，还要看两点：

• SSL 证书信息：在任何浏览器里点地址栏前的锁图标，查看证书，看“颁发给”里的域名是否完全匹配官方域名，证书颁发机构是否为可信 CA（如 DigiCert、Sectigo 等），有效期是否正常。如果证书是自签名的，或者域名里多一个点少一个字母，马上关掉。
• 域名注册信息：可以用 whois 查询工具看域名所有人、注册时间。仿冒站往往是刚注册几个月、用隐私保护隐藏所有的信息，而官方域名的注册时间通常较长，名称与公司信息可查证。

这三条依据每一条都给出了“看哪里、对上什么才算”，把它们当做一个硬核检查表，每条后面打勾，只有全部勾上，才能考虑信任当前客户端。

官方路径怎么走

如果你在核对过程中发现任何一条对不上，或者还没开始核对但心里没底，最稳妥的做法就是扔掉目前手里的客户端，从头走一次官方入口：

• 安卓用户：在浏览器地址栏直接输入官方域名（可向在线客服索取，索要时要求提供域名备案截图），进入后找“安卓下载”按钮，下载最新 apk。安装前先计算哈希并与公告页上的值比对，再校验签名指纹。
• iOS 用户：只从 App Store 搜索官方名称下载，不要让任何人用 TestFlight 或其他手段分享。安装后检查“VPN 与设备管理”确认为 App Store 官方证书。

路径很短：清掉旧包→进官方公告页→取链接→核对哈希→安装→核对签名。每一步都是可执行的，不需要“感觉”“大概”这种词。

相关问题

客服能不能帮我确认渠道？

可以，但要有前提：你联系的必须是官方客服，不是从网页弹窗里蹦出来的“在线客服”。先通过官方域名进入站点，找到“联系我们”或“在线客服”入口，再询问当前官方下载链接与最新安装包哈希。客服发给你的链接，你同样需要自己再做一遍哈希与签名核对，不能客服说了就算。

只看界面像官方就够了吗？

不够。界面是最容易被仿冒的部分，截几张图、套个壳就能做到。必须用数字签名、安装包哈希、证书归属这些不可伪造的指标来核对，界面再像都只是参考。

核对失败下一步该怎么做？

如果任何一条核不上，首先立即卸载当前客户端，并修改账户密码（在你能确认的官方环境里修改）。然后清空浏览器缓存，重新从上一节“官方路径”手打域名进去，下载安装，再核一次。如果依然失败，联系官方客服确认域名是否有变，但不要在任何非官方页面提交个人信息。

旧版本安装包还能继续用吗？

不建议。旧版本可能缺少最新的安全修复，而且如果你无法核实旧文件的来源（比如是别人转发给你的），它的签名和哈希都没有保障。哪怕当初是官方包，只要文件经过他人传播就有可能被篡改。还是重新从官方渠道下载当前最新版更安全。

收口一句：“28圈是官方的吗”这个问题的答案不在任何人口头保证里，而在包体签名、哈希值和证书信息里。核过才算数，核不过就全停，重新走官方入口，重新核。别给仿冒包留任何糊弄的空间。

（记者 在星夜下失眠）