imtoken 知识中心
钓鱼与诈骗
识别假网站、假客服、假空投、恶意签名和诱导转账等常见风险。
钓鱼往往先制造紧迫感
围绕钓鱼往往先制造紧迫感进行操作时，用户应先确认自己正在处理的对象、网络和权限，再决定下一步。不同网络可能使用相似的地址格式，也可能存在名称相近的资产。仅凭图标或简称不足以完成判断，合约地址、网络环境和区块浏览器中的公开记录通常更具参考价值。 在“钓鱼网站”和“假空投”这类具体问题上，应尽量使用可验证信息来判断，而不是把一次成功经验当成永久规则。把核对动作固定下来，可以显著降低因为网络选错、对象看错或权限理解错误而造成的风险。
进一步看，钓鱼往往先制造紧迫感还需要与整个操作上下文结合。遇到信息不完整的请求时，不急于确认往往比事后补救更有效。尤其是签名、授权和跨网络操作，一旦链上交易被确认，钱包通常无法单方面撤回，因此每一步都应保持可解释、可核对。 对 imtoken 用户而言，目标不是追求复杂操作，而是让每一步都可以被复核：先确认当前网络，再确认对象与权限，最后确认链上结果。如果某一步无法解释清楚其目的、对象和结果，停止并重新核验通常是更稳妥的选择。
假客服通常索取秘密信息
假客服通常索取秘密信息看似是单一功能，实际往往同时涉及地址、网络状态、链上记录与安全边界。安全并不来自某一个开关，而来自一组持续执行的习惯：秘密信息离线保存、设备保持受控、域名和合约逐次核对、旧授权定期检查、重要转账在条件允许时先进行小额验证。 在“假客服”和“恶意签名”这类具体问题上，应尽量使用可验证信息来判断，而不是把一次成功经验当成永久规则。如果某一步无法解释清楚其目的、对象和结果，停止并重新核验通常是更稳妥的选择。
进一步看，假客服通常索取秘密信息还需要与整个操作上下文结合。公开信息和秘密信息要严格区分。交易哈希、公开地址和网络名称通常可以用于排查；助记词、私钥、恢复短语和验证码则不应发送给任何人，也不应填写到普通网页。 对 imtoken 用户而言，目标不是追求复杂操作，而是让每一步都可以被复核：先确认当前网络，再确认对象与权限，最后确认链上结果。真正有用的安全习惯，是让每一次操作在提交前都能回答“给谁、在哪条链、做什么、范围多大”。
空投与授权风险
把空投与授权风险放进完整的钱包使用流程中理解，能够减少因只看余额或按钮文案而产生的误判。钱包负责帮助用户管理密钥并组织链上交互，但链上交易是否成立仍由对应网络记录。操作前应核对网络名称、目标地址、金额或权限范围；操作后则应通过交易状态、区块确认和交易哈希继续验证结果。 在“假空投”和“诱导转账”这类具体问题上，应尽量使用可验证信息来判断，而不是把一次成功经验当成永久规则。真正有用的安全习惯，是让每一次操作在提交前都能回答“给谁、在哪条链、做什么、范围多大”。
进一步看，空投与授权风险还需要与整个操作上下文结合。不同网络可能使用相似的地址格式，也可能存在名称相近的资产。仅凭图标或简称不足以完成判断，合约地址、网络环境和区块浏览器中的公开记录通常更具参考价值。 对 imtoken 用户而言，目标不是追求复杂操作，而是让每一步都可以被复核：先确认当前网络，再确认对象与权限，最后确认链上结果。建立这样的顺序后，即使界面发生变化，也能依据链上逻辑判断操作是否合理。
发现可疑链接时如何处理
对发现可疑链接时如何处理的判断应以可核验的链上信息为基础，而不是依赖未经确认的提示、截图或第三方说法。遇到信息不完整的请求时，不急于确认往往比事后补救更有效。尤其是签名、授权和跨网络操作，一旦链上交易被确认，钱包通常无法单方面撤回，因此每一步都应保持可解释、可核对。 在“恶意签名”和“钓鱼网站”这类具体问题上，应尽量使用可验证信息来判断，而不是把一次成功经验当成永久规则。建立这样的顺序后，即使界面发生变化，也能依据链上逻辑判断操作是否合理。
进一步看，发现可疑链接时如何处理还需要与整个操作上下文结合。安全并不来自某一个开关，而来自一组持续执行的习惯：秘密信息离线保存、设备保持受控、域名和合约逐次核对、旧授权定期检查、重要转账在条件允许时先进行小额验证。 对 imtoken 用户而言，目标不是追求复杂操作，而是让每一步都可以被复核：先确认当前网络，再确认对象与权限，最后确认链上结果。把核对动作固定下来，可以显著降低因为网络选错、对象看错或权限理解错误而造成的风险。
安全原则
助记词和私钥由用户自行保管。imtoken 官方人员不会索取助记词、私钥或验证码。转账、签名或授权前应核对地址、网络、金额、请求内容和权限范围。第三方 DApp 与智能合约可能存在风险，链上交易一经确认通常无法由钱包单方面撤回。