先确定不可让步的安全原则
钓鱼与诈骗这一主题需要先把“钓鱼网站”与“域名核对”放到同一个操作上下文中理解。钓鱼通过相似域名、伪造界面和紧迫话术诱导用户提交秘密信息或签署不期望的请求。仿冒站点常通过相似字符、子域名或广告跳转制造熟悉感。页面设计相似并不能证明域名真实。理解边界比追求一步到位更重要，因为链上操作往往会留下难以逆转的结果。
风险判断时，不要把熟悉的页面外观当成可信证明。围绕钓鱼网站与域名核对，先确认请求来自哪里、会获得什么权限、会不会形成链上结果。imtoken 官方不会索取助记词、私钥或验证码；任何要求提交这些信息的请求都应停止。链上交易通常也无法由钱包单方面撤回，因此事前核对比事后补救更重要。
本节核对重点
- 不从陌生私信、广告或群聊直接进入需要签名的钱包页面。
- 从已知入口访问 DApp，签名前再次观察地址栏并避免跟随陌生私信链接。
- 转账、签名或授权前再次确认网络、地址和请求内容与当前目标一致。
识别常见风险场景
钓鱼与诈骗这一主题需要先把“假客服”与“签名”放到同一个操作上下文中理解。假客服常以“验证账户”“恢复资产”或“远程排查”为理由索取助记词、私钥、验证码或远程控制权限。签名用于证明账户对某段消息或交易内容的授权。即使不直接转账，签名也可能具有重要后果。把这些概念放在一起看，可以避免只记住名词却不知道何时需要检查。
风险判断时，不要把熟悉的页面外观当成可信证明。围绕假客服与签名，先确认请求来自哪里、会获得什么权限、会不会形成链上结果。imtoken 官方不会索取助记词、私钥或验证码；任何要求提交这些信息的请求都应停止。链上交易通常也无法由钱包单方面撤回，因此事前核对比事后补救更重要。
本节核对重点
- 官方人员不会索取助记词或私钥；任何此类请求都应视为高风险信号。
- 确认签名来源、文本、域名和用途；看不懂的请求不要因为“仅签名”而放松检查。
- 转账、签名或授权前再次确认网络、地址和请求内容与当前目标一致。
发现异常时如何处理
钓鱼与诈骗这一主题需要先把“远程控制”与“助记词”放到同一个操作上下文中理解。远程控制软件可能让第三方看到屏幕、输入内容或引导点击。涉及密钥、签名和转账时应避免陌生人远程操作设备。助记词通常可以恢复一组钱包账户，因此其敏感程度高于普通登录密码。泄露后，第三方可能在其他设备恢复账户。实际操作中，最有价值的做法是把页面显示与网络、地址和请求内容逐项对应。
风险判断时，不要把熟悉的页面外观当成可信证明。围绕远程控制与助记词，先确认请求来自哪里、会获得什么权限、会不会形成链上结果。imtoken 官方不会索取助记词、私钥或验证码；任何要求提交这些信息的请求都应停止。链上交易通常也无法由钱包单方面撤回，因此事前核对比事后补救更重要。
本节核对重点
- 遇到要求安装远程工具的所谓客服时停止会话，并独立核实来源。
- 优先离线备份，不截图、不通过聊天工具发送，也不交给任何所谓客服。
- 转账、签名或授权前再次确认网络、地址和请求内容与当前目标一致。
把安全变成长期习惯
钓鱼与诈骗这一主题需要先把“钓鱼网站”与“域名核对”放到同一个操作上下文中理解。钓鱼通过相似域名、伪造界面和紧迫话术诱导用户提交秘密信息或签署不期望的请求。仿冒站点常通过相似字符、子域名或广告跳转制造熟悉感。页面设计相似并不能证明域名真实。当两个信息来源出现冲突时，应先停下确认动作，再用可公开验证的数据交叉核对。
风险判断时，不要把熟悉的页面外观当成可信证明。围绕钓鱼网站与域名核对，先确认请求来自哪里、会获得什么权限、会不会形成链上结果。imtoken 官方不会索取助记词、私钥或验证码；任何要求提交这些信息的请求都应停止。链上交易通常也无法由钱包单方面撤回，因此事前核对比事后补救更重要。
本节核对重点
- 不从陌生私信、广告或群聊直接进入需要签名的钱包页面。
- 从已知入口访问 DApp，签名前再次观察地址栏并避免跟随陌生私信链接。
- 转账、签名或授权前再次确认网络、地址和请求内容与当前目标一致。
助记词和私钥应由用户自行保管，不应发送给任何人。转账、签名或授权前请核对地址、网络、金额、签名内容与授权范围。第三方 DApp 和智能合约可能存在独立风险。