助记词和私钥由用户自行保管。imtoken 官方人员不会索取助记词、私钥或验证码；转账前应核对地址、网络和金额，授权前应检查授权对象与权限范围。
DApp 连接：核心概念
在处理 Web3 与 DApp 时，首先要把“显示信息”和“链上事实”区分开。DApp 连接 往往决定当前操作的上下文，而 域名核对 会影响后续能否被正确识别。用户应从钱包界面读取必要信息，再通过可信的链上工具或目标服务核对关键字段。不要因为页面外观熟悉、名称相似或有人声称“官方确认”就跳过核对。尤其涉及资产转移、签名或授权时，确认对象、网络和请求内容应当是独立步骤。 连接 DApp 通常只是建立账户可见性或会话，并不等于授权资产转移。后续每一次消息签名、交易签名或代币授权都应单独理解和确认。域名、合约地址和权限范围需要在发起操作前核对。
对于“DApp 连接”这一点，建议把信息记录和操作确认分开处理。先看清当前网络与账户，再核对目标信息；如果涉及第三方 DApp 或合约，还应确认域名和合约地址来源。操作完成后保留交易哈希或相关记录，便于之后在区块浏览器中复核。这样的流程并不会消除所有风险，但能让风险点更明确，也能避免把界面提示当作唯一依据。
域名核对：实际判断
真实使用中，域名核对 和 账户请求 经常同时出现，但它们解决的是不同问题。一个操作能够被发起，并不代表目标、网络或权限范围就一定正确。建议先确认当前账户与网络，再检查地址、合约或请求来源，最后查看费用与最终确认内容。若信息无法解释清楚，应先停止操作，而不是通过反复点击尝试“让它成功”。
对于“域名核对”这一点，建议把信息记录和操作确认分开处理。先看清当前网络与账户，再核对目标信息；如果涉及第三方 DApp 或合约，还应确认域名和合约地址来源。操作完成后保留交易哈希或相关记录，便于之后在区块浏览器中复核。这样的流程并不会消除所有风险，但能让风险点更明确，也能避免把界面提示当作唯一依据。
账户请求：验证结果
完成与 Web3 与 DApp 相关的操作后，应通过交易哈希、区块高度、确认状态或合约记录验证结果。钱包中的状态可能受到网络延迟、节点同步或界面缓存影响，链上记录更适合用来判断交易是否被广播、是否进入区块以及是否达到所需确认数。对于授权，还应查看授权对象和额度是否符合预期。
对于“账户请求”这一点，建议把信息记录和操作确认分开处理。先看清当前网络与账户，再核对目标信息；如果涉及第三方 DApp 或合约，还应确认域名和合约地址来源。操作完成后保留交易哈希或相关记录，便于之后在区块浏览器中复核。这样的流程并不会消除所有风险，但能让风险点更明确，也能避免把界面提示当作唯一依据。
签名：风险与误区
常见问题包括选错网络、复制到错误地址、忽略小数位、误解 Gas、把消息签名当作无风险操作，或把 DApp 连接等同于同意所有后续请求。签名 相关操作尤其需要逐项检查。链上交易通常不能由钱包单方面撤回，智能合约和第三方 DApp 也可能存在代码、权限或运营风险，因此不能把“钱包可以连接”理解为“目标一定可信”。
对于“签名”这一点，建议把信息记录和操作确认分开处理。先看清当前网络与账户，再核对目标信息；如果涉及第三方 DApp 或合约，还应确认域名和合约地址来源。操作完成后保留交易哈希或相关记录，便于之后在区块浏览器中复核。这样的流程并不会消除所有风险，但能让风险点更明确，也能避免把界面提示当作唯一依据。
链上交易通常无法由钱包单方面撤回；第三方 DApp、智能合约、Bridge 或质押服务可能存在技术和运营风险。
授权：形成习惯
把一次性的谨慎变成固定流程，比依赖记忆更可靠。每次操作都按“确认账户—确认网络—确认对象—确认金额或权限—确认费用—保留交易哈希”的顺序执行；涉及助记词和私钥时，坚持离线保存且不发送给任何人；涉及授权时，定期检查不再需要的授权。授权 应成为操作结束后的常规复查项，而不是出现问题后才补做。
对于“授权”这一点，建议把信息记录和操作确认分开处理。先看清当前网络与账户，再核对目标信息；如果涉及第三方 DApp 或合约，还应确认域名和合约地址来源。操作完成后保留交易哈希或相关记录，便于之后在区块浏览器中复核。这样的流程并不会消除所有风险，但能让风险点更明确，也能避免把界面提示当作唯一依据。