先建立可执行的安全原则
钱包安全不是依赖一句“安全”口号，而是把每一步操作拆成可以核对的动作。围绕钓鱼与诈骗识别，最重要的是区分“谁在请求你操作、请求什么权限、资产将通过哪个网络或合约发生变化”。imtoken 不会要求用户提交助记词、私钥或验证码；这些凭证应由用户自行保管。遇到任何要求导出、复制、上传或远程展示这些信息的场景，都应停止操作并重新核验来源。如果对“先建立可执行的安全原则”仍有疑问，可先暂停操作并回到“仿冒网站”与“假客服”两个基础点，再使用交易哈希、合约地址或区块信息补充验证。
识别与「仿冒网站」相关的高风险场景
仿冒网站相关风险常常不是技术故障，而是利用注意力不足、页面仿冒、诱导授权或错误网络造成。操作前应确认当前访问的域名、页面目的、连接账户以及请求来源，尤其不要因为“领取”“升级”“客服协助”等话术而跳过检查；在“钓鱼与诈骗识别”的“识别与「仿冒网站」相关的高风险场景”部分，还要结合“假客服”具体判断。对于无法解释的弹窗、签名或权限请求，拒绝通常比尝试猜测更稳妥。更稳妥的做法是把“假客服”写进固定核对顺序，同时把“假空投”作为第二层检查；这样遇到界面变化时，仍能依据“恶意链接”相关的链上事实判断。
如何检查 假客服 与 假空投
检查假客服和假空投时，应把“对象、范围、后果”分开看。对象是哪个地址、合约或设备；范围是一次操作还是持续权限；后果则是资产、账户或连接状态会发生什么变化。只有在三者都能被清楚理解时再继续。若页面仅显示模糊摘要，可暂停并通过区块浏览器或可信渠道核对地址与交易信息。本节与“钓鱼与诈骗识别”的其他步骤并不是孤立关系：“假空投”会影响后续对“恶意链接”的判断，而“剪贴板风险”通常用于确认操作结束后的真实状态。
- 对方要求提供恢复凭证或验证码。
- 域名、账户或权限与原本任务不一致。
- 以紧急、奖励等理由催促立即确认。
发生异常时的处理顺序
如果怀疑已经发生异常，不要继续在同一页面反复点击。先断开不必要的 DApp 连接，检查链上授权和近期交易，再评估是否需要迁移仍可控制的资产。若设备可能被远程控制或浏览器环境被篡改，应优先在可信设备上重新检查账户状态。链上交易通常无法由钱包单方面撤回，因此处理重点是减少后续风险，而不是依赖所谓“客服追回”；在“钓鱼与诈骗识别”语境中，还应结合“恶意链接”继续判断。把“恶意链接”放回“钓鱼与诈骗识别”的完整流程中理解时，重点是确认它与“剪贴板风险”和“远程控制”之间的实际关系，并保留可以再次核对的地址、交易或区块依据。
日常核对清单
日常使用可以形成固定核对顺序：确认设备与网络环境，确认站点来源，确认地址与网络，阅读签名或授权内容，检查金额与 Gas，完成后记录交易哈希，并定期清理不再使用的授权；在“钓鱼与诈骗识别”的“日常核对清单”部分，还要结合“剪贴板风险”具体判断。这个顺序适用于恶意链接、剪贴板风险以及多数 Web3 操作，可以显著减少因习惯性点击产生的错误。处理“日常核对清单”时，可以按来源、网络、请求内容和链上结果四个层次逐项检查；其中“剪贴板风险”与“远程控制”最值得在确认前再次核对。
需要长期记住的边界
钓鱼与诈骗识别的核心边界是：私钥和助记词不应交给任何人；第三方 DApp 与智能合约可能存在风险；授权不是“连接后自动安全”的凭证；转账前要核对地址、网络和金额；不再使用的权限应考虑及时取消。imtoken 提供的是工具与知识说明，不对第三方合约、网络状态或资产价格作绝对保证。对于“钓鱼与诈骗识别”这类任务，不要只看界面是否显示完成，还应围绕“远程控制”“仿冒网站”和“假客服”确认预期变化是否真的出现在正确网络上。
安全与风险提醒
助记词和私钥由用户自行保管，imtoken 官方不会索取。链上交易通常无法由钱包单方面撤回，第三方 DApp、智能合约、网络状态和数字资产价格都可能带来额外风险。