助记词和私钥只应由你掌握
助记词和私钥是控制钱包地址的重要凭证。任何获得完整凭证的人，都可能在另一台设备上恢复钱包并签署交易。建议在可信环境中离线抄写，核对顺序与字符，并保存在自己能够长期管理的位置。
不要截图、录屏，不要上传网盘、邮箱或在线笔记，也不要通过聊天软件发送给自己。若需要制作多个备份，应考虑物理损坏、遗失和未经授权访问等风险，避免所有备份集中在同一地点。
imtoken 官方人员不会索取助记词或私钥，也不会要求用户提交这些信息来验证账户、升级钱包或恢复资产。
识别钓鱼与假冒客服
常见钓鱼方式包括仿冒官网、搜索广告、假客服私信、群聊中的“管理员”、伪造安全警告、空投链接和所谓资产解冻页面。攻击者往往制造紧迫感，要求用户立即点击链接、共享屏幕、安装远程控制软件或输入助记词。
遇到异常通知时，不要直接点击消息里的链接。关闭页面后，从自己保存的官方入口重新进入。核对域名拼写、证书状态和页面行为，任何要求转账到陌生地址以完成验证的说法都应警惕。
保护设备与本地环境
保持系统、浏览器和钱包应用更新，避免安装来源不明的 APK、浏览器扩展或破解软件。恶意程序可能替换剪贴板地址、记录键盘输入、截取屏幕或远程控制设备。重要操作前可重新核对剪贴板中的地址，尤其是首尾字符。
不建议在公共电脑、共享平板、网吧设备或长期无人维护的旧手机上导入私钥或助记词。公共 Wi-Fi 下也应减少高敏感度操作，并关闭不必要的屏幕共享和远程协助功能。
转账前核对地址、网络和金额
区块链交易确认后通常无法由钱包单方面撤回。转账前应核对资产名称、链名称、收款地址、金额、手续费和必要的 Memo/Tag。向交易平台充值时，以对方明确支持的网络为准，不要因为地址格式相似就自行更换网络。
第一次向新地址或新网络操作时，可先根据自身情况进行小额测试，并在区块浏览器确认交易状态。不要依据陌生人发来的截图判断“已到账”或“需补手续费”。
定期检查 DApp 与代币授权
连接 DApp 后，第三方可能请求代币授权。授权意味着特定合约可以在允许额度内调用某种代币，因此应关注合约地址、额度和网络。无限额度授权虽然减少重复确认，但也扩大了合约发生问题时的潜在影响。
不再使用的授权可考虑撤销。断开网站连接并不一定取消链上授权，撤销通常需要在对应网络发起交易并支付 Gas。不要使用来源不明的“授权检测”网站，更不要在这些网页中输入助记词。
警惕远程控制和“协助操作”
任何要求你安装远程桌面、共享屏幕、开启无障碍权限或让对方代为操作钱包的客服请求都应高度警惕。攻击者可能借此看到助记词、截取验证码或在你不注意时更改收款地址。
遇到问题时，可以描述错误现象、交易哈希和公开地址，但不要提供助记词、私钥、支付密码或设备验证码。公开地址和交易哈希通常足以用于基础链上排查。
设备丢失时如何处理
如果设备丢失，但助记词仍安全且未泄露，应先保护手机账户、SIM 卡和相关登录凭证，并在可信设备上评估钱包恢复与资产迁移。若怀疑助记词已经被看到，应优先把资产转移到由全新助记词控制的钱包，同时核对网络费用和目标地址。
不要相信声称能够“锁定链上钱包”或“后台冻结私钥”的第三方。去中心化链上地址通常不由钱包服务方单方面控制。
所谓“资产找回”需要格外谨慎
链上转账完成后，是否能够追回取决于接收方、交易性质、网络规则及可能涉及的服务平台流程。imtoken 不能保证找回已经转出的资产。任何声称百分百追回、先付保证金或要求再次向私人地址转账的人，都可能是在进行二次诈骗。
建立简单、可重复的安全清单
- 只从自己确认过的官方入口访问和下载。
- 助记词与私钥离线保存，不向任何人提供。
- 签名前核对网络、合约、地址、金额和权限。
- 新地址或重要转账前先小额测试。
- 定期检查 DApp 连接和链上授权。
- 不用公共电脑处理敏感钱包操作。
- 出现紧迫、恐吓或异常回报话术时先停止操作。