确认下载来源与设备安全
iPhone用户应通过imToken官方渠道核对App Store页面后再下载安装。不要相信搜索广告、社群私信、陌生二维码或“客服”链接，更不要安装描述文件、测试版或非官方升级包。仿冒App和网站的主要目的通常是诱导用户导入助记词。
保持iOS和钱包应用正常更新，开启锁屏密码及Face ID或Touch ID。避免在已越狱、长期未更新或安装过不明描述文件的设备上管理主要资产。若手机曾被远程控制、借给他人或出现异常弹窗，建议在可信设备创建新钱包并迁移资产。
助记词必须离线备份
助记词是恢复和控制钱包的核心凭证，不是登录密码，也无法通过客服找回。创建钱包后，应按顺序手写在纸质介质上，存放于防火、防潮且他人难以接触的位置；可准备两份并分开保管。
- 不要截图、录屏、复制到剪贴板。
- 不要存入相册、备忘录、网盘、邮箱或聊天软件。
- 不要向任何人提供助记词、私钥或Keystore文件。
可设置独立本地访问密码并启用生物识别解锁，但这不能代替助记词。卸载App、更换手机或设备损坏后，通常仍需助记词恢复钱包。备份后应仔细核对单词数量、顺序和拼写。
转账、收款和DApp授权要逐项核验
收款前先确认币种和网络是否一致。同名资产可能存在于以太坊、BNB Chain、Polygon等不同链上，地址相似不代表网络兼容。首次向陌生地址、陌生网络或进行大额转账时，应先小额测试，确认到账后再继续。
转账确认时不要只看地址前后几位，需核验完整地址、网络、金额和手续费，防止剪贴板劫持替换地址。凡是“转账解冻”“验证资金”“地址更新”等要求额外付款的消息，都应停止操作。
连接DApp时应使用项目公开、可核验的入口，避免点击私信、推广页或陌生NFT链接。连接钱包不等于安全，签名和授权可能允许合约动用代币。遇到Approve、SetApprovalForAll或无限额度授权时，必须确认合约对象和授权额度；看不懂的签名、合约交互或未知代币操作不要确认。使用陌生DApp后，可通过可信授权管理工具检查并撤销不必要授权。
助记词泄露后应立即迁移
如果助记词曾被截图、发送、导入陌生网站，或出现非本人授权和转账，应视为钱包已暴露。仅修改本地解锁密码无效，应在干净设备创建全新钱包、离线备份新助记词，并尽快将可转移资产迁往新地址，同时检查旧地址授权记录。
不要相信要求支付保证金、恢复费或解冻费的“找回服务”，这类操作常导致二次损失。日常可仅在移动钱包保留常用小额资金，较大资产采用更严格的隔离管理。助记词不触网、地址和网络重复核验、拒绝陌生签名，是最基础的安全原则。
