助记词与私钥保护
助记词和私钥是控制钱包的重要凭证，应在可信设备上生成并离线保存。不要截图、复制到云端笔记、通过邮件或聊天软件传输，也不要交给自称客服、技术人员或项目方的任何人。imtoken 官方人员不会索取这些信息。
备份时要核对单词拼写和顺序，避免仅保存一份容易受潮、丢失或被他人接触的记录。备份位置不应与解锁密码放在一起。若怀疑助记词已经泄露，应尽快在安全设备上创建新钱包，并自行将资产转移到新地址。
识别钓鱼与仿冒入口
攻击者可能通过相似域名、搜索广告、群聊链接、假客服和假空投引导用户进入仿冒页面。访问前核对完整域名，不只看页面 Logo 和配色。对要求下载描述文件、安装未知扩展、开启远程控制或输入助记词的页面，应立即停止操作。
设备与账户防护
- 启用设备锁屏和系统更新，避免越狱、Root 或安装来源不明的软件。
- 钱包密码与邮箱、交易平台和社交账户使用不同组合。
- 不在公共电脑导入钱包，不让浏览器保存敏感信息。
- 定期检查剪贴板、输入法和扩展程序是否存在异常行为。
- 遇到设备丢失或被远程控制时，优先在其他可信设备上处理风险。
DApp 授权与签名检查
连接 DApp 后，签名请求可能包含登录、代币授权或合约调用。确认网络、合约、金额、授权额度和有效期限，拒绝与预期不一致的请求。定期查询已授权合约，撤销不再使用的权限，但要注意撤销操作也需要支付 Gas。
转账前的核对顺序
确认网络
发送方与接收方必须支持同一网络，跨链操作需使用已核实的桥接流程。
确认地址
核对地址前后字符，警惕剪贴板被替换；新地址先做小额测试。
确认金额与费用
检查币种、数量、Gas 和平台最低入账要求，避免重复提交。
可疑情况的处理
发现异常授权、陌生交易或可疑设备时，应立即断开网络连接并在可信设备上检查账户。不要继续与陌生“客服”沟通，也不要为所谓解冻、验证或找回支付费用。资产转出后通常无法由钱包单方面撤回，因此及时停止进一步损失尤为重要。
安全边界：任何要求提供助记词、私钥或验证码的消息都应谨慎核实。官方无法替用户恢复私钥，也不能保证追回已经确认的链上转账。