钱包安全的三个核心原则
第一，助记词和私钥只由用户本人掌握；第二，每次交易与授权都独立核对；第三，只从可信入口访问应用和服务。钱包安全不是单一功能，而是设备、备份、网络判断和操作习惯共同形成的防护体系。
防丢：建立可靠的离线备份
助记词应按顺序准确记录，并存放在不联网的介质中。不要截图、复制到聊天软件、上传网盘或通过邮箱传输。备份位置应兼顾防火、防水、防丢失与防止他人接触。可在安全环境中进行恢复校验，确保备份真实可用。
应用访问密码无法替代助记词。设备损坏、应用卸载或密码遗忘时，恢复通常仍依赖助记词。若助记词丢失且设备也无法访问，平台通常无法替用户找回。
防骗：识别钓鱼入口和假客服
钓鱼网站常使用相似域名、仿冒页面、搜索广告或紧急提示诱导连接钱包。假客服可能声称账户异常、需要同步、升级或验证，并要求提供密钥、验证码、屏幕共享或向安全地址转账。imtoken 官方人员不会提出这些要求。
访问常用服务时使用已经核对的书签，检查域名拼写和证书。不要轻信群聊置顶消息、陌生二维码或他人发来的安装包。收到“限时”“冻结”“立即处理”等催促时，先停止操作并通过独立渠道核对。
防盗：保护设备与应用环境
为设备启用屏幕锁和系统更新，安装应用时检查来源和权限。不要使用越狱、Root 或安全状态未知的设备处理重要资产。关闭不必要的辅助功能、远程控制和屏幕共享，避免安装来源不明的输入法、剪贴板工具和浏览器扩展。
在公共 Wi-Fi、公共电脑或他人设备上避免创建、导入和签名。设备遗失时，若存在密钥泄露风险，应尽快从安全环境将资产转移至新的钱包，并审查相关地址的授权与活动。
检查 DApp 与合约授权
授权可能允许合约使用一定额度的代币。连接前核对 DApp 域名和合约，签名前阅读网络、代币、额度和手续费。无限额度授权会扩大潜在风险，使用结束后应断开连接，并定期取消不再需要的权限。
取消授权同样是链上交易，需要选择正确网络并支付手续费。不要为取消授权而向陌生网站提交助记词或私钥。对来源不明的空投和代币，不要随意点击其附带链接或执行合约交互。
转账前的四次核对
- 核对网络：发送与接收端支持同一网络。
- 核对地址：检查首尾字符，防止剪贴板被替换。
- 核对资产和金额：确认代币合约、数量与小数位。
- 核对手续费和备注：预留原生资产，并确认是否需要标签或备注。
对新地址先做小额测试，等待确认后再继续。不要向所谓“验证地址”“客服地址”或陌生人提供的账户转账。资产转出并在链上确认后，通常无法由钱包单方面撤回。
警惕远程控制和屏幕共享
诈骗者可能借助远程控制软件观察助记词、修改剪贴板、引导签名或直接操作设备。任何客服都不需要远程进入用户设备才能验证钱包。若已安装可疑软件，应立即断网、停止敏感操作，并在可信设备上检查账户活动。
发现异常后的处理
若只是连接了可疑网站但未签名，可立即断开并清理会话；若已授权，应尽快在对应网络检查并取消权限；若怀疑密钥泄露，应考虑将剩余资产转移到全新、安全生成的钱包。保存交易哈希、合约地址、域名、时间和截图，便于分析。
不要向声称可以追回资产的陌生人支付费用或提供密钥。链上资金追踪与法律处理需要依赖真实证据和适用地区的正式渠道，钱包不能保证找回已转出资产。
日常安全清单
- 助记词离线保存，不截图、不上传、不分享。
- 只从可信入口下载和访问服务。
- 每次签名检查网络、合约、金额和权限。
- 定期检查授权与地址活动。
- 不在公共设备或可疑网络中处理敏感操作。
- 不接受陌生人的远程控制或转账指令。