第一原则：助记词和私钥只由你保管
助记词和私钥能够恢复或控制钱包，应视为最高等级的敏感信息。建议离线抄写并分别保存在可靠位置，避免截图、上传网盘、存入邮箱、笔记应用或聊天记录。不要把完整助记词交给任何人，也不要在陌生网站中粘贴。imtoken 官方人员不会索取助记词或私钥。
防丢：备份要准确，也要可长期保存
备份时逐词核对拼写和顺序，并考虑纸张损坏、搬迁、遗失等实际风险。仅有一份备份可能因为意外同时丢失，过多复制又会扩大泄露面，因此应根据自己的环境选择合适数量和存放方式。不要把备份与手机解锁密码、邮箱密码等放在同一个容易被发现的位置。
防骗：警惕“客服恢复”“风险解除”和空投诱导
常见诈骗会利用紧急情绪要求用户提供助记词、下载远程控制软件、授权陌生合约或向指定地址转账。官方人员不会通过索取助记词或私钥来处理账户问题，也不会要求你把资产转到所谓“安全地址”。遇到陌生联系人时，应停止操作并从已确认的官方入口重新核实。
防钓鱼：域名和下载入口比页面外观更重要
仿冒网站可以复制品牌颜色、文案和按钮，因此不能只看外观。访问前检查浏览器地址栏中的域名拼写，谨慎对待搜索广告、短链接、二维码和社交群聊中的入口。下载应用时仅通过 imtoken 官网提供的 download.html 入口，不从陌生人发送的安装包或未知站点获取。
防盗：保持设备可信
及时更新系统与浏览器，避免安装来源不明的软件和扩展。远程控制、屏幕共享、键盘记录和恶意剪贴板程序都可能影响钱包操作。进行重要转账或恢复钱包时，建议关闭不必要的远程协助工具，并确认设备没有被他人控制。
签名前看清授权范围
DApp 可能申请代币额度、NFT 操作权或其他合约权限。授权不是“免费登录”，某些权限会持续存在于链上。对无限额度授权、陌生合约或与当前操作无关的签名，应先停止并核对。使用结束后可定期检查授权列表，对不再需要的权限按网络规则发起撤销。
转账前执行四项核对
至少确认网络、接收地址、资产类型和金额。对于首次往来的地址或跨链、跨层操作，可以先发送小额测试，再通过区块浏览器确认交易哈希和到账网络。不要仅根据聊天截图或对方口头确认判断地址正确。
资产转出后通常无法单方面撤回
链上交易一旦达到网络确认标准，钱包通常无法替用户撤销或强制追回。若发送到错误网络、错误地址或恶意合约，处理难度取决于目标地址控制权、接收服务规则和具体网络情况。因此防错的重点在发送前，而不是事后依赖所谓“客服恢复”。
发现异常时优先保护剩余风险面
如果怀疑助记词已经泄露，应停止在原设备继续暴露敏感信息，并评估是否需要将仍可控制的资产转移到新生成且安全备份的钱包。如果只是某个 DApp 授权可疑，应检查对应网络的授权并处理。对涉及远程控制、陌生转账或恶意程序的情况，还应检查设备安全状态。
公共设备与公共网络
公共电脑不适合导入钱包、查看助记词或执行重要签名。公共 Wi‑Fi 也可能增加网络劫持和钓鱼风险。必须使用公共网络时，应尽量只浏览公开信息，不进行恢复、授权或高价值转账，并确认连接采用正常的加密访问。