imtoken

钓鱼与诈骗

识别相似域名、假客服、假空投、远程协助和紧急话术中的常见风险信号。

先核对网络再检查请求保留可验证记录

检查 1

仿冒页面通常从入口开始

围绕仿冒页面通常从入口开始建立习惯时，不需要记住所有技术细节，但要知道哪些信息决定结果。钓鱼页面常通过相似域名、搜索广告、私信链接或假活动诱导用户进入。访问钱包相关页面时应从可信入口核对域名，不因为页面设计相似、Logo 正确或出现“紧急”提示就降低警惕。

地址用于识别链上账户或合约。发送资产前应核对目标网络与地址，建议同时检查开头、结尾和完整来源；从聊天软件或剪贴板复制后也要重新比对，避免地址被替换。当页面信息与预期不一致时，取消操作通常比快速继续更稳妥；之后可用交易哈希、合约地址或区块浏览器重新核验。

DApp 连接通常先请求查看账户地址或建立会话，之后才可能提出签名、交易或授权。连接本身的风险低于授权私钥，但仍应确认域名、会话对象和当前网络，并在不再使用时断开连接。安全并不是一次设置完成，而是每次转账、签名和授权前都重复执行同样的核对顺序。

容易忽略的核对点

核对与“仿冒页面通常从入口开始”相关的网络、地址或合约来源
确认当前请求与预期操作一致，不因界面名称相似而跳过检查
保留交易哈希等公开可核验信息；敏感凭据始终由用户自行保管

检查 2

主动私信的“客服”需要独立核实

实际使用中，主动私信的“客服”需要独立核实往往和前后多个步骤相连。假客服常主动私信、要求远程控制、索取恢复短语或让用户安装陌生软件。真正的安全处理流程不需要用户把助记词、私钥或验证码发送给任何人；遇到主动联系应通过独立官方入口核实。

助记词通常能够恢复钱包控制权，泄露后可能让他人在其他设备上重建账户。应离线保存，不上传网盘、不发送给客服、不拍照长期存放，并在备份后验证记录顺序与可读性。这也是为什么同一个按钮在不同网络、合约或权限上下文中可能产生完全不同的结果，不能只根据名称判断。

私钥直接对应签名权限，不适合作为日常分享或验证身份的材料。任何网页、聊天窗口、远程协助工具或所谓“同步服务”要求输入私钥时，都应停止操作并重新确认来源。把这些步骤固定下来，可以降低因网络选错、地址误复制、权限过大或状态误判造成的操作风险。

完成前的确认

核对与“主动私信的“客服”需要独立核实”相关的网络、地址或合约来源
确认当前请求与预期操作一致，不因界面名称相似而跳过检查
保留交易哈希等公开可核验信息；敏感凭据始终由用户自行保管

检查 3

空投和领取页面可能隐藏授权

把空投和领取页面可能隐藏授权拆开看，会比一次性接受页面结论更可靠。恶意合约或恶意前端可能通过伪装空投、领取、验证账户等场景诱导签名或授权。风险判断应关注真正被调用的合约、权限范围和交易效果，而不是页面宣称的活动名称。

代币授权允许某个合约在一定条件下使用账户中的代币。授权额度过大或授权给错误合约会扩大风险范围；应核对授权对象、代币、额度和用途，并定期取消不再需要的权限。这类问题最适合通过公开链上记录、可信来源和本地钱包信息交叉确认，而不是依赖陌生人的解释。

签名可以证明账户同意某段消息或交易内容。某些消息签名不直接转账，却可能用于登录、授权或构造后续操作；因此每次签名前都应阅读可识别的域名、对象、金额、权限和有效期。安全并不是一次设置完成，而是每次转账、签名和授权前都重复执行同样的核对顺序。

把检查变成固定习惯

核对与“空投和领取页面可能隐藏授权”相关的网络、地址或合约来源
确认当前请求与预期操作一致，不因界面名称相似而跳过检查
保留交易哈希等公开可核验信息；敏感凭据始终由用户自行保管

检查 4

远程控制与紧急话术要立即停止

理解“远程控制与紧急话术要立即停止”时，先把它放进一次真实操作中看。远程控制软件可以让他人看到屏幕、操作鼠标键盘或读取剪贴板。处理钱包、备份和签名时不应在陌生人的远程指导下继续，尤其不要展示助记词、私钥或验证码。

设备安全包括系统补丁、屏幕锁、应用来源、恶意软件和物理访问控制。钱包本身不能替代设备层防护；如果设备出现异常弹窗、未知应用或被远程控制，应先停止敏感操作。当页面信息与预期不一致时，取消操作通常比快速继续更稳妥；之后可用交易哈希、合约地址或区块浏览器重新核验。

公共 Wi-Fi 和公共电脑扩大了账户泄露、浏览器会话被窃取和恶意软件干扰的可能性。涉及钱包登录、签名或备份时应优先使用自己控制的设备与网络，并避免在共享设备上保存敏感会话。把这些步骤固定下来，可以降低因网络选错、地址误复制、权限过大或状态误判造成的操作风险。

实际操作检查

核对与“远程控制与紧急话术要立即停止”相关的网络、地址或合约来源
确认当前请求与预期操作一致，不因界面名称相似而跳过检查
保留交易哈希等公开可核验信息；敏感凭据始终由用户自行保管

安全声明

助记词和私钥由用户自行保管。官方人员不会索取助记词、私钥或验证码；链上交易通常无法由钱包单方面撤回；第三方 DApp 和智能合约可能存在风险。