防丢：建立可靠的离线备份
助记词是恢复钱包控制权的重要凭证。创建钱包后，应立即按顺序抄写并核对，不要依赖记忆，也不要只保存在同一台手机中。备份位置应考虑火灾、潮湿、遗失和未经授权接触等风险。可根据自身情况采用多个安全位置，但应避免过度复杂导致本人无法恢复。
不要截图、录屏、上传云盘、发送邮件或粘贴到聊天工具。照片、同步相册和剪贴板可能被应用读取。定期检查备份是否完整可读，但检查时同样要避开摄像头、陌生人和屏幕共享环境。
私钥与助记词的保护边界
拥有私钥或助记词的人通常可以控制对应地址。imtoken 官方人员不会索取这些信息，也不会通过客服对话、网页表单或远程协助帮助用户“验证”助记词。任何要求提供私钥、助记词、验证码或导出文件的消息，都应视为高风险。
不要把敏感信息输入到非钱包恢复界面，更不要在来源不明的软件中导入。恢复钱包时应确认应用来源与设备安全，完成后检查地址是否与原钱包一致。客服无法替用户重置私钥，也无法保证找回已丢失凭证。
防骗：识别常见话术和诱导
诈骗者常冒充官方人员、项目方、交易平台或熟人，以账户异常、资产冻结、空投奖励、退款、投资机会或紧急协助为由制造压力。典型要求包括点击陌生链接、安装远程控制软件、共享屏幕、提交助记词或先向指定地址转账。
遇到此类消息时，不要继续对话中的操作步骤。通过独立渠道确认官方公告和联系人，不使用对方提供的搜索结果或二维码。区块链转账通常不可逆，所谓“安全账户”“验证地址”和“解冻费用”常被用于诱导转账。
防盗：降低设备与账户暴露
为设备设置可靠的锁屏密码和生物识别，保持系统与钱包应用更新，不安装来历不明的应用、插件和描述文件。发现设备越狱、Root、异常弹窗、耗电或网络活动时，应谨慎处理重要资产操作。
警惕剪贴板劫持：复制地址后必须核对开头与结尾，金额较大时还应核对完整地址。不要在公共电脑导入钱包，也不要在会议投屏、直播或录屏时打开敏感页面。远程控制软件可能绕过用户对操作的理解，应拒绝陌生人协助。
授权检查与恶意合约风险
代币授权允许合约在指定额度内转移资产。连接 DApp 后，即使已经断开网页连接，链上授权仍可能存在。应定期检查授权记录，核对合约、代币和额度，对不再使用或无法确认来源的权限提交取消交易。
签名时要区分普通登录、代币授权、NFT 授权、挂单和合约调用。不要只看按钮文字，确认页面中的网络、合约和数据。无限额度授权会扩大潜在损失范围，能使用较小额度时应根据实际需求选择。
设备、浏览器与公共环境
重要操作应在本人控制的可信设备上完成。公共 Wi‑Fi、共享电脑、网吧设备和陌生充电接口可能增加数据泄露风险。浏览器扩展应从可信来源安装并减少不必要权限，定期删除不再使用的扩展。
不要在公共设备输入助记词、私钥或进行重要签名。若只需查询交易，可使用区块浏览器查看公开地址和交易哈希。退出页面和清除记录不能保证消除恶意软件风险，因此最安全的做法是避免在不可信设备上处理钱包。
转账前的四项核对
- 网络：确认发送与接收方使用同一条链和正确代币标准。
- 地址：核对完整地址，警惕剪贴板替换和相似字符。
- 金额：确认小数位、代币名称和实际到账需求，首次可先小额测试。
- 费用与授权：确认网络费、合约调用和页面显示的实际操作。
资产转出后通常无法由钱包单方面撤回。不要向陌生地址转账，不要因为对方承诺返利、解冻、验证或找回而支付费用。
发现异常时如何处理
若怀疑设备或助记词泄露，应停止在可疑设备上操作，通过可信设备检查地址、授权和交易记录。根据实际情况，可考虑将仍可控制的资产转移到新生成并安全备份的钱包，但转移前需确保新环境可信并核对网络费用。
若仅发现某个 DApp 授权异常，可在对应网络取消授权；若交易已经完成，钱包通常无法撤回。保留交易哈希、网址、时间和对话记录，避免继续与诈骗者接触。涉及刑事诈骗时，可向当地执法或网络安全机构报告。