保护密钥、设备与每一次签名

助记词与私钥的控制权

助记词和私钥能够控制钱包资产。请只在可信设备中生成，并采用离线方式备份。不要截图、拍照、上传云盘、保存到邮件草稿或发送至聊天工具。若必须制作多份备份，应分开存放并控制访问权限，避免同时暴露。

imtoken 官方人员不会索取助记词、私钥或验证码，也不会要求用户通过远程控制软件“恢复钱包”。任何以客服、升级、空投、补偿或风控为理由索取敏感信息的行为都应立即停止并核验。

防丢：建立可恢复的备份习惯

创建钱包后应立即完成助记词校验，确认顺序和拼写准确。不要只依赖单一手机、单张纸或单个存储地点。更换设备、重置系统或卸载应用前，先确认备份可用。钱包本地密码通常只保护当前设备，不能替代助记词。

防骗：识别社交工程

诈骗者常通过私信、群聊、假客服、搜索广告和仿冒网站制造紧迫感，例如声称账户异常、必须立即升级或可以领取补偿。遇到倒计时、催促转账、要求下载陌生软件或共享屏幕时，应停止操作。通过独立确认的官方入口核验，不使用对方提供的联系方式。

防盗：保护设备与剪贴板

为设备设置锁屏、生物识别和系统更新，谨慎授予应用辅助功能、通知读取和剪贴板权限。恶意软件可能替换复制的地址，因此粘贴后应核对首尾字符。不要在越狱、Root 或安全状态不明的设备上处理重要资产。

防钓鱼：确认域名和下载入口

手动核对域名拼写，避免仅凭页面外观判断真伪。搜索结果中的广告、相似域名和短链接都可能指向仿冒站点。可信查询通常不需要输入助记词。下载应用前应从确认过的官方入口进入，并留意安装包来源与系统提示。

检查 DApp 授权

连接 DApp 后，定期查看代币授权与合约权限。无限额度授权会扩大潜在损失，应根据实际需要设置额度。对不再使用、来源不明或曾发生安全事件的合约，考虑取消授权。取消授权同样属于链上操作，需要核对网络和费用。

转账前的四项核对

1. 网络：发送网络与接收方支持网络一致；
2. 地址：核对首尾字符，防止剪贴板替换；
3. 资产与金额：确认代币合约、精度和数量；
4. 手续费与备注：保留足够 Gas，并填写必要的备注或标签。

大额或首次使用的地址建议先小额测试。资产转出后通常无法由钱包单方面撤回，任何声称可以通过提供私钥帮助撤回的人都不可信。

发现异常后的处理

立即断开可疑网站连接，停止签名和转账，检查最近交易与授权。若怀疑密钥已泄露，应在可信设备上评估将剩余资产转移到新钱包，但不要在受控设备上继续操作。保存域名、交易哈希、合约地址和对话记录，以便后续核查。

质押与跨链安全

参与质押前了解验证器、锁定周期、退出等待、网络惩罚、服务费用和智能合约风险。跨链桥可能依赖合约、流动性或第三方验证机制。不要因高收益宣传、限时名额或低费用承诺忽略来源核验。