助记词：优先离线备份
助记词往往可以恢复钱包控制权，因此应视为最高敏感级别的信息。创建钱包后准确抄写，检查顺序与拼写，并将备份放在不易被他人接触的位置。不要截图，不要存入相册、云盘、邮箱、在线笔记或聊天记录。
如果需要多份备份，应考虑不同位置的物理风险，而不是简单复制到多个联网设备。任何线上传输都会扩大暴露面。
私钥：不分享、不上传
私钥可以直接用于签名和控制资产。imtoken 官方人员不会索取私钥，也不会要求用户上传私钥文件进行身份验证。任何以客服、安全审核、退款、升级、空投或恢复资产为理由索取私钥的行为都应停止。
识别钓鱼网站与假客服
仿冒页面可能复制品牌外观，却在域名、下载入口或签名请求上做手脚。不要只看页面是否“像官网”，还要确认进入路径、域名拼写和浏览器提示。陌生群聊、私信、短信和搜索广告中的链接需要格外谨慎。
假客服常用紧急、封号、资产异常等理由制造压力，并要求开启屏幕共享、安装远程控制软件或转账到所谓“安全地址”。imtoken 不会要求用户把资产转给陌生地址来完成安全验证。
设备与浏览器安全
使用自己控制的设备，保持系统和浏览器更新，谨慎安装扩展与未知应用。剪贴板替换恶意软件可能在复制地址时修改内容，因此粘贴后仍需核对首尾字符。重要操作中发现弹窗、页面跳转或签名内容异常，应立即停止。
公共电脑和公共网络不适合创建钱包、查看助记词或完成高敏感签名。即使只是临时使用，也不要输入私钥或助记词。
DApp 授权与签名
钱包连接、消息签名、代币授权和交易确认是不同操作。授权可能允许合约在一定范围内转移代币，特别是长期或无限额度授权，需要理解其后果。定期检查不再使用的授权，并在正确网络上处理撤销操作。
转账前的四项核对
- 资产：确认要发送的代币或主网资产。
- 网络：确认发送方与接收方使用同一条支持网络。
- 地址：核对完整地址或至少核对首尾多位字符，避免剪贴板替换。
- 金额：确认数量、小数位和手续费预留。
数字资产转出后通常无法由钱包单方面撤回，因此对新地址、新网络或金额较大的操作，可以先发送自己能够承受的小额测试并等待确认。
常见诈骗信号
- 承诺固定高收益、稳赚、保本或无风险。
- 要求提供助记词、私钥、验证码或屏幕控制权。
- 要求向陌生地址转账以“解冻”“验证”或“升级”。
- 利用倒计时、限时名额或账户即将失效制造压力。
- 要求访问陌生 DApp 并直接确认看不懂的签名。
遇到异常时如何处理
如果只是怀疑网站或消息可疑，先停止交互，不要继续签名。若设备疑似感染恶意软件，应在干净设备上评估风险，并避免继续使用原环境进行敏感操作。若已经授权可疑合约，可以在确认网络和合约地址后检查相关授权；若私钥或助记词已经泄露，则应把“凭据可能被他人控制”作为最高风险情形处理。