助记词与私钥的保管原则
助记词和私钥代表链上账户的控制权，应由用户本人离线保存。不要截图，不要上传网盘，不要保存在聊天收藏或电子邮件中，也不要通过打印店、公共电脑或远程协助设备处理。备份时核对顺序和拼写，并考虑防潮、防火和他人误触。
imtoken 官方人员不会索取助记词、私钥或验证码。任何以升级、风控、验证、空投或账户恢复为理由要求提交敏感信息的消息，都应立即停止。
识别钓鱼网站与虚假客服
钓鱼页面常使用相似域名、复制 Logo 和紧急提示制造压力。进入页面前检查完整域名，不要只看搜索结果标题。虚假客服可能引导安装远程控制软件、共享屏幕、打开钱包或向“安全地址”转账，这些都不属于正常支持流程。
如果对方不断催促、承诺恢复资产或要求保密，应退出沟通，通过确认过的官方入口重新核实。
设备与浏览器安全
- 保持系统、浏览器和钱包应用更新。
- 不在来源不明的设备上导入钱包。
- 关闭不需要的浏览器扩展和调试工具。
- 发现剪贴板地址被替换、鼠标异常或屏幕被控制时立即断网并停止操作。
- 设置可靠的设备锁屏和本地访问密码，但不要误以为本地密码可以替代助记词备份。
转账前的四项核对
核对网络
确认发送方和接收方使用同一网络，并了解目标平台是否支持该链。
核对地址
复制后检查首尾字符，重要转账不要只依赖二维码或聊天截图。
核对资产与金额
确认代币合约、精度和备注要求，预留网络手续费。
先做小额测试
对于新地址、新网络或较大金额，先发送小额并等待确认。
DApp 授权与恶意签名
连接 DApp 前确认域名和网络，授权时查看代币、额度、合约和期限。无限额度授权会扩大合约可使用的范围，并不适合所有场景。使用结束后断开连接并检查授权记录，对不再使用或来源不明的合约及时撤销。
签名不一定会立即显示转账金额，但可能创建订单、授权或其他链上权限。看不懂的签名不要确认，第三方 DApp 的合约风险应由用户独立评估。
资产异常时如何处理
发现异常交易时，先保存地址、交易哈希、网络、时间和可疑页面信息。若仍能控制账户，可在安全设备上评估是否需要转移未受影响的资产、撤销授权或更换账户。不要相信“支付解冻费即可追回”的说法，也不要继续向陌生地址转账。
链上交易通常无法由钱包单方面撤回，客服也不能恢复未知私钥。处理过程中应避免二次泄露。
长期安全习惯
定期检查备份是否完整、设备是否异常、授权是否仍有必要。对于桥接、质押和新合约交互，先了解退出规则、网络费用和潜在损失。把每一次核对当作常规流程，比依赖单一安全功能更可靠。