助记词与私钥：只由本人保管
助记词和私钥能够证明账户控制权，一旦泄露，攻击者可能在其他设备恢复钱包并发起交易。建议在创建钱包时离线抄写助记词，确认顺序与拼写后存放在安全位置。不要截图、不要存入云盘、不要发送到聊天工具，也不要打印在公共设备上。
imtoken 官方人员不会索取助记词或私钥。任何声称需要“验证钱包、同步账户、解除风控、领取补偿”而要求提交这些信息的消息都应视为高风险。验证码同样不应提供给陌生人。
防丢：备份要考虑可恢复性
只做一次备份但从未核对，也可能在真正需要恢复时发现顺序错误或字迹无法识别。备份后应在不暴露内容的前提下确认完整性，并考虑物理损坏、遗失和他人接触的风险。不要把所有备份放在同一地点，也不要为了“方便”把明文助记词复制到联网设备。
如果更换手机或重新安装应用，应先确认备份可用，再处理旧设备。不要在无法确认来源的恢复页面中输入助记词。
防骗：先确认入口，再相信内容
仿冒网站常使用与品牌相近的域名、搜索广告、短链接或假客服头像。进入服务时优先使用自己保存并确认过的地址，关注拼写和跳转情况。官方公告不会以“紧急转账到安全地址”的方式处理账户问题，也不会让你通过陌生合约“验证资产”。
遇到高压话术、限时要求或对方阻止你独立核实时，应停止操作。资产转出后通常无法由钱包单方面撤回，因此不要因对方声称“保证退款”而继续转账。
防盗：设备和剪贴板同样重要
恶意软件可能读取剪贴板、替换地址、记录键盘输入或通过远程控制观察钱包操作。系统和浏览器应保持合理更新，避免安装来历不明的 APK、扩展和破解软件。发现设备异常耗电、频繁弹窗、自动打开远程控制程序或地址被替换时，先停止敏感操作。
粘贴地址后再次核对开头、结尾和关键字符。对于大额或新地址，先小额测试可以降低因地址错误造成的风险，但仍需要确认网络一致。
DApp 授权：连接之后还要管理权限
代币授权可能允许合约在一定额度内调用资产。某些授权额度很大或长期有效，若合约存在漏洞、网站被劫持或用户误签恶意交易，风险可能持续存在。定期查看已授权合约，对不再使用或无法确认来源的权限进行处理。
撤销授权需要在相应网络上发送交易，因此可能产生 Gas。第三方授权查询工具本身也需要核对域名与合约来源，不要为了“取消授权”把助记词输入网页。
签名前读懂请求
钱包弹窗可能是简单登录签名，也可能是合约调用、资产授权或转账。确认前检查当前网站、网络、接收地址、合约地址、资产、金额和授权额度。如果请求内容与页面正在进行的操作不一致，或弹窗中出现无法解释的资产转移权限，应拒绝。
不要因为页面显示倒计时、空投名额或“验证失败”就连续签名。对于无法判断的请求，退出页面比盲目确认更安全。
转账前固定做四次核对
- 确认当前区块链网络与接收方支持的网络一致。
- 确认接收地址完整，粘贴后重新核对关键字符。
- 确认资产名称、合约和金额，特别注意同名代币。
- 确认手续费和交易类型，不把合约授权误认为普通转账。
区块链交易一旦确认，通常无法由钱包单方面撤回。若不熟悉新网络或跨链流程，建议先小额验证并保留交易哈希。
公共设备与公共网络
公共电脑可能保留浏览器缓存、键盘记录或安装未知管理软件，不适合输入钱包敏感信息。公共 Wi‑Fi 也可能存在网络层风险。需要查询链上公开信息时，可以尽量不连接钱包；需要签名或转账时，优先回到本人控制的可信设备和网络环境。
发现异常时怎么做
如果怀疑打开了钓鱼网站但尚未输入敏感信息，可立即关闭页面并检查浏览器下载、扩展和钱包连接。如果已经授权未知合约，应在安全设备上核对链上授权并评估是否需要撤销。如果助记词或私钥已经泄露，风险可能涉及整个账户控制权，应停止在受影响设备上继续操作，并根据具体情况采取资产迁移等措施。
不要向陌生“技术人员”开放远程控制权限，也不要为了处理异常继续向所谓安全地址转账。