保护账户，从不泄露密钥和每次独立核对开始

防丢：建立可靠的离线备份

创建钱包后应立即备份助记词，并按顺序逐个核对。推荐使用纸张或耐久的离线介质，存放在只有本人可以访问的位置。备份地点应考虑火灾、潮湿、搬迁和意外丢失，不要把唯一备份与手机放在同一处。

不要截图，不要上传云盘、邮箱或在线笔记，也不要通过聊天工具发送。数字副本可能被系统同步、恶意软件、账号泄露或他人临时访问获取。需要多份备份时，应分别保管并定期确认仍可读取。

防骗：识别假客服和假恢复服务

imtoken 官方人员不会索取助记词、私钥或验证码，也不会要求用户向陌生地址转账以验证账户。常见骗局会冒充客服、安全团队、项目方或交易平台，声称账户异常、需要同步节点、领取补偿或恢复资产，并诱导用户进入假网站。

遇到紧急催促、限时处理、屏幕共享或安装远程控制软件的要求，应立即停止。不要相信能够通过“技术手段”找回已泄露私钥或撤回链上转账的承诺。保存对方账号、链接和交易信息，但不要继续互动或泄露更多资料。

防盗：保持设备与应用环境可信

为手机设置强解锁方式，避免与钱包访问密码相同。只从可信入口安装应用，关闭来源不明的安装权限，及时更新系统和常用软件。发现设备越狱、Root、未知管理配置、异常耗电、剪贴板内容改变或弹出远程控制提示时，不要进行资产操作。

浏览器扩展、输入法、远程协助工具和剪贴板管理器都可能接触敏感内容。进行转账或备份时关闭不需要的软件，不在公共 Wi-Fi 或共享设备中操作。手机丢失后，应在可信新设备上使用备份恢复并评估是否需要转移资产。

防钓鱼：核对域名和下载来源

钓鱼页面可能复制官网外观、制造假错误或伪装成钱包恢复页面。进入前检查域名拼写、HTTPS 和链接来源，避免点击搜索广告、群聊短链、陌生二维码、空投 NFT 中的链接。不要因为页面显示正确 Logo 就认为可信。

官网普通页面不会要求用户输入助记词、私钥或验证码。下载时统一从 download.html 进入，电脑端显示维护提示属于正常设备逻辑；移动端若跳转失败，应使用页面提供的主动按钮，而不是转向陌生下载站。

授权安全：理解 DApp 请求的权限

连接 DApp 后，网站可能请求消息签名、代币授权或合约交易。普通连接只公开地址，但签名和授权可能影响资产。确认时要检查网络、合约、金额、授权额度和方法说明。未知签名、无限授权或与当前操作无关的请求应拒绝。

使用结束后断开连接，并定期检查链上授权。断开会话并不会自动取消已有权限。撤销授权通常需要支付 Gas，因此应在账户中保留少量对应网络的原生代币，并通过可信工具完成。

转账安全：地址、网络和金额三次核对

先确认收款方支持的网络，再复制地址。粘贴后完整比对，防止剪贴板恶意替换。核对资产合约、金额、小数位和手续费，重要转账可让接收方通过另一渠道再次确认。首次向新地址转账或进行大额操作时，先发送小额测试。

交易广播后通常无法由钱包单方面撤回。错误网络、错误地址、恶意合约或被骗转账都可能造成不可逆结果。不要向任何人提供的“安全地址”“验证地址”或“解冻地址”转账。

跨链与 Layer2 安全

跨链桥和跨层转移涉及来源网络、目标网络、资产映射和合约。使用前区分官方桥与第三方桥，核对合约、费用、等待时间和提取条件。不要依据低费用或快速到账宣传忽略风险，也不要使用未经核实的桥接工具。

质押与合约风险

质押可能涉及验证器、委托、智能合约、锁定期和退出队列。奖励不是固定收益，也不代表本金安全。网络惩罚、验证器表现、合约漏洞、服务中断和市场价格波动都可能影响结果。参与前应阅读规则并安排可承受锁定的资金。