钱包安全

助记词是第一道安全边界

助记词通常可以恢复钱包中的一组私钥，因此其安全级别应接近钱包本身。创建后建议立即离线抄写并核对顺序与拼写，把备份放在只有自己能够安全访问的位置。不要截图、不要拍照上传云盘、不要复制进聊天软件，也不要把助记词发送给所谓客服。

如果有人已经获得完整助记词，单纯修改 APP 密码通常不能阻止对方在其他钱包工具中恢复地址。发现疑似泄露时，应优先在可信设备中评估资产迁移方案，并避免继续使用可能泄露的环境。

私钥与本地设备保护

私钥用于签署交易，应避免导出和传播。手机或电脑需要设置可靠的系统锁屏与应用访问保护，保持系统更新，并减少安装来源不明的软件。对要求关闭安全功能、开启远程控制或共享屏幕的“客服协助”要保持高度警惕。

imtoken 官方人员不会索取敏感信息

imtoken 官方人员不会要求用户提交助记词、私钥或验证码，也不会以“账户核验”“风控解除”“资产找回”为理由要求把资产转到陌生地址。任何出现这类要求的消息都应停止操作，并重新从已确认的官方入口核实信息。

识别钓鱼站点与仿冒入口

钓鱼网站常通过相似域名、搜索广告、社交群组和私信传播。访问前检查浏览器地址栏，不要只看页面 Logo 或设计。对突然弹出的“钱包异常”“需要升级”“立即恢复”提示保持谨慎。正常的公开信息查询不需要助记词或私钥。

DApp 授权与恶意合约

连接 DApp 后，代币授权可能让指定合约在额度范围内转移相应资产。应确认授权对象、额度和用途，对不再使用的授权定期检查。遇到陌生合约、异常高额度授权或无法解释的签名请求时，先停止操作，不要因为页面催促而确认。

防范剪贴板与地址替换

某些恶意软件会监控剪贴板并替换数字资产地址。粘贴地址后，应核对开头、中间关键片段和结尾，而不是只看前几位。大额转账前可根据自身情况先做小额测试。二维码也应确认来源，不能因为扫描得到地址就自动认为安全。

转账后通常无法由钱包单方面撤回

区块链交易一旦被网络确认，通常无法由钱包服务单方面撤销或追回。因此发送前应自行核对收款地址、网络、资产类型、金额和手续费。尤其在交易平台充值或跨链时，要按照接收方标注的网络进行匹配。

公共 Wi-Fi、共享电脑与远程控制

在公共网络或共享设备上进行钱包操作可能增加恶意软件、账户泄露与屏幕窃取风险。尽量避免在公共电脑导入钱包、查看助记词或签署重要交易。不要让陌生人通过远程控制软件操作你的设备，也不要在通话中共享敏感页面。

建立日常安全检查习惯

• 定期确认常用官方入口是否正确，不从陌生消息进入钱包服务。
• 定期检查 DApp 连接与代币授权，清理不再需要的权限。
• 重要操作前确认设备环境、网络、地址与交易内容。
• 遇到高压催促、限时处理、资产冻结等话术时先停止操作。
• 不要向任何陌生地址转账以“解锁”“验证”或“领取退款”。