助记词是账户控制权
助记词通常可以派生钱包私钥。获得助记词的人不需要你的手机或密码，也可能在其他设备恢复钱包。因此，助记词只能由本人掌握。imtoken 官方人员不会索取助记词、私钥或验证码，也不会要求用户上传这些信息进行验证。
正确备份方式
- 在无摄像头、无录屏、无远程控制的私人环境中抄写。
- 完整核对顺序和拼写，并准备防丢、防潮的离线备份。
- 不截图、不复制到云剪贴板、不上传网盘、不发送到聊天软件。
- 不把助记词输入任何网页、问卷、客服窗口或所谓恢复工具。
私钥与本地设备保护
私钥应留在可信设备或专用安全介质中。为设备设置强密码和自动锁定，及时安装系统安全更新，避免越狱、Root 或安装来源不明的软件。浏览器扩展和输入法也可能读取页面内容，应减少不必要权限。
识别假客服与社交工程
诈骗者常冒充客服、技术人员、项目方或熟人，制造账户异常、升级、空投、补偿或紧急转账等理由。任何要求共享屏幕、安装远程软件、提供验证码或向陌生地址转账的请求都应立即停止。不要因为对方能说出你的公开地址或交易记录就相信其身份。
确认官方网址与下载入口
通过保存的书签或经过确认的入口访问官网，核对完整域名和证书状态。搜索广告、短链接、群聊二维码和私信链接可能指向仿冒页面。更新应用时同样需要确认来源，避免安装修改版或所谓内部测试包。
防止剪贴板地址替换
恶意软件可能替换复制的区块链地址。粘贴后应核对完整地址，不能只看首尾几个字符。首次向新地址或新平台转账时，先发送小额并等待确认，再进行后续操作。
理解签名
签名可能用于登录、声明所有权、设置订单、授权合约或提交交易。不要在未理解内容时盲目确认。对显示为十六进制或不可读文本的请求，应特别谨慎，并核实来源、有效期、链和合约地址。
检查 DApp 授权
代币授权可能允许合约在一定额度内转移资产。使用完 DApp 后，定期查看授权额度，取消不再使用、来源不明或范围过大的批准。取消操作需要在正确网络上进行，并可能产生 Gas 费用。
远程控制与屏幕共享风险
远程协助软件可能让对方看到助记词、读取验证码或直接操作钱包。官方支持不会要求用户在恢复钱包、签名或转账时开启远程控制。若已经安装可疑软件，应断开网络、停止操作，并在另一台可信设备上检查账户安全。
公共网络与公共设备
公共电脑、网吧和共享设备不适合创建或恢复钱包。公共 Wi-Fi 也可能出现劫持和伪造页面。需要查询公开信息时，不要输入助记词、私钥或密码，使用后清理连接并检查账户活动。
转账前的四次核对
- 核对网络：发送和接收必须支持同一链。
- 核对地址：查看完整字符并确认来源。
- 核对资产与金额：确认代币合约、小数位和数量。
- 核对授权与手续费：理解合约方法并预留 Gas。
资产已转出怎么办
链上交易一旦确认，通常无法由钱包单方面撤回。若转到交易平台或服务商地址，可凭交易哈希联系对方核实，但结果取决于对方规则。若转到诈骗地址，应保存聊天、网址、交易哈希和设备信息，并停止继续转账。
发现助记词泄露后的处理
在可信设备上创建全新钱包，使用新的助记词，并尽快将仍可控制的资产转移到新地址。转移前检查原账户是否有异常授权或待处理交易。不要继续使用已经泄露的助记词，也不要把新助记词保存到原有不安全位置。