助记词和私钥由用户自行保管。imtoken 官方人员不会索取助记词、私钥或验证码；转账前应核对地址、网络和金额，授权前应检查授权对象与权限范围。
授权对象：核心概念
在处理 代币授权 时，首先要把“显示信息”和“链上事实”区分开。授权对象 往往决定当前操作的上下文，而 授权额度 会影响后续能否被正确识别。用户应从钱包界面读取必要信息，再通过可信的链上工具或目标服务核对关键字段。不要因为页面外观熟悉、名称相似或有人声称“官方确认”就跳过核对。尤其涉及资产转移、签名或授权时，确认对象、网络和请求内容应当是独立步骤。 代币授权允许某个合约或地址在设定额度内代表用户转移特定代币。授权本身和实际转账是不同操作，但过大的授权额度会扩大后续风险。用户应检查授权对象、代币、额度和用途，并在不再需要时考虑撤销。
对于“授权对象”这一点，建议把信息记录和操作确认分开处理。先看清当前网络与账户，再核对目标信息；如果涉及第三方 DApp 或合约，还应确认域名和合约地址来源。操作完成后保留交易哈希或相关记录，便于之后在区块浏览器中复核。这样的流程并不会消除所有风险，但能让风险点更明确，也能避免把界面提示当作唯一依据。
授权额度：实际判断
真实使用中，授权额度 和 无限授权 经常同时出现，但它们解决的是不同问题。一个操作能够被发起，并不代表目标、网络或权限范围就一定正确。建议先确认当前账户与网络，再检查地址、合约或请求来源，最后查看费用与最终确认内容。若信息无法解释清楚，应先停止操作，而不是通过反复点击尝试“让它成功”。
对于“授权额度”这一点，建议把信息记录和操作确认分开处理。先看清当前网络与账户，再核对目标信息；如果涉及第三方 DApp 或合约，还应确认域名和合约地址来源。操作完成后保留交易哈希或相关记录，便于之后在区块浏览器中复核。这样的流程并不会消除所有风险，但能让风险点更明确，也能避免把界面提示当作唯一依据。
授权对象
把它作为独立核对项，不因熟悉的界面或他人催促而跳过。
授权额度
把它作为独立核对项，不因熟悉的界面或他人催促而跳过。
无限授权
把它作为独立核对项，不因熟悉的界面或他人催促而跳过。
无限授权：验证结果
完成与 代币授权 相关的操作后，应通过交易哈希、区块高度、确认状态或合约记录验证结果。钱包中的状态可能受到网络延迟、节点同步或界面缓存影响，链上记录更适合用来判断交易是否被广播、是否进入区块以及是否达到所需确认数。对于授权，还应查看授权对象和额度是否符合预期。
对于“无限授权”这一点，建议把信息记录和操作确认分开处理。先看清当前网络与账户，再核对目标信息；如果涉及第三方 DApp 或合约，还应确认域名和合约地址来源。操作完成后保留交易哈希或相关记录，便于之后在区块浏览器中复核。这样的流程并不会消除所有风险，但能让风险点更明确，也能避免把界面提示当作唯一依据。
撤销授权：风险与误区
常见问题包括选错网络、复制到错误地址、忽略小数位、误解 Gas、把消息签名当作无风险操作，或把 DApp 连接等同于同意所有后续请求。撤销授权 相关操作尤其需要逐项检查。链上交易通常不能由钱包单方面撤回，智能合约和第三方 DApp 也可能存在代码、权限或运营风险，因此不能把“钱包可以连接”理解为“目标一定可信”。
对于“撤销授权”这一点，建议把信息记录和操作确认分开处理。先看清当前网络与账户，再核对目标信息；如果涉及第三方 DApp 或合约，还应确认域名和合约地址来源。操作完成后保留交易哈希或相关记录，便于之后在区块浏览器中复核。这样的流程并不会消除所有风险，但能让风险点更明确，也能避免把界面提示当作唯一依据。
链上交易通常无法由钱包单方面撤回；第三方 DApp、智能合约、Bridge 或质押服务可能存在技术和运营风险。
恶意合约：形成习惯
把一次性的谨慎变成固定流程，比依赖记忆更可靠。每次操作都按“确认账户—确认网络—确认对象—确认金额或权限—确认费用—保留交易哈希”的顺序执行；涉及助记词和私钥时，坚持离线保存且不发送给任何人；涉及授权时，定期检查不再需要的授权。恶意合约 应成为操作结束后的常规复查项，而不是出现问题后才补做。
对于“恶意合约”这一点，建议把信息记录和操作确认分开处理。先看清当前网络与账户，再核对目标信息；如果涉及第三方 DApp 或合约，还应确认域名和合约地址来源。操作完成后保留交易哈希或相关记录，便于之后在区块浏览器中复核。这样的流程并不会消除所有风险，但能让风险点更明确，也能避免把界面提示当作唯一依据。