保护账户控制权，从不泄露敏感凭证开始

钱包安全的核心不是依赖单一功能，而是长期保护账户凭证、识别异常请求、限制合约权限并在每次转账前核对关键信息。

助记词与私钥：账户控制权的根本

助记词和私钥能够控制对应链上账户。创建钱包时，应在可信设备和私密环境中离线记录助记词，按顺序核对并分别存放备份。不要截图、不要上传云盘、不要复制到邮箱或聊天软件，也不要交给任何自称客服、技术人员或安全团队的人。

imtoken 官方人员不会索取助记词、私钥或验证码。任何要求提供这些信息、上传密钥文件、共享屏幕或安装远程控制软件的消息都应停止处理。钱包服务通常无法替用户恢复遗失且没有备份的助记词。

防丢：确保备份真实可用

备份不仅是“写下来”，还要确保拼写、顺序和完整性正确。可在创建时按应用提示完成验证，并将备份置于防潮、防火和不易被他人接触的位置。更换或重置设备前，先确认备份可用，不要在陌生网页或未经核验的应用中测试助记词。

防骗：识别冒充官方与虚假恢复服务

常见骗局包括冒充客服、发送仿冒官网、以空投或补偿为由诱导授权、声称账户异常需要“验证钱包”，以及要求转账支付解冻费用。官方不会让用户向陌生地址转账验证身份，也不会承诺通过后台追回已经确认的链上资产。

防钓鱼：从入口和域名开始核对

建议保存并使用已经核对的官方入口，谨慎对待搜索广告、短链接、二维码和群聊转发。进入页面后检查域名拼写与证书，观察是否突然要求输入助记词或私钥。即使网页外观相似，也不能仅凭 Logo、配色或所谓客服头像判断真伪。

防盗：保护设备、剪贴板与本地访问

保持系统和应用更新，使用可靠的屏幕锁，避免在已越狱、已 root 或存在不明管理权限的设备上进行重要操作。复制地址后重新核对首尾字符，警惕剪贴板替换恶意软件。不要把本地访问密码与助记词混为一谈：密码保护当前设备，助记词可恢复账户。

DApp 授权检查

连接 DApp 后，仔细阅读代币授权额度、目标合约和网络。无限额度授权可能在后续被合约持续使用，应仅在理解风险时选择。定期检查不再使用的授权并在正确网络中取消；断开网站连接并不等同于撤销链上授权。

签名消息与合约交易

签名并非都无风险。某些消息可能用于登录，另一些可能代表订单、许可或授权。交易弹窗中应查看目标地址、合约方法、代币数量和 Gas。遇到乱码、空白说明、异常高额度或与当前操作无关的请求，应拒绝并退出页面。

转账前四项核对

资产转出后的处理边界

链上交易一旦确认，通常无法由钱包单方面撤回。若误转，应先在区块浏览器保存交易哈希与公开信息，再联系真实接收方或相关平台按其流程处理。不要相信要求继续转账、支付保证金或提交助记词才能追回资产的陌生服务。

远程控制与社会工程

诈骗者可能以排查故障为由要求安装远程控制软件、共享屏幕或开启辅助功能。远程人员可看到验证码、复制地址并引导签名。任何涉及账户恢复、资产转移或安全检查的远程操作都应停止，必要时先断网并在可信设备上检查账户。

公共环境与旅行场景

公共电脑、公共 Wi-Fi、酒店设备和他人手机都不适合创建或恢复钱包。确需查询链上信息时，使用公开地址或交易哈希，不登录敏感账户。离开设备前断开连接、关闭页面并确认没有保存凭证。

质押与跨链服务的附加风险

质押可能涉及验证器表现、锁定与退出等待、网络惩罚、服务费用和市场价格波动；跨链桥还会增加合约、流动性与目标链风险。不要把历史奖励、低费用或快速到账视为保证，应先了解具体网络、服务方和合约机制。