imToken作为主流非托管数字钱包，用户使用时需警惕三大核心风险坑点：一是私钥/助记词丢失，平台不托管资产，一旦遗忘或泄露将永久无法找回；二是钓鱼仿冒，非官方渠道下载的假APP易导致资产被盗；三是DApp授权风险，随意授权权限可能被窃取资产，使用注意事项包括：务必离线备份助记词并妥善保管，仅从官方渠道下载APP，谨慎授权DApp权限，定期检查授权记录，避免资产损失。
imToken官方绝不会以任何形式索要助记词、私钥等敏感信息
非托管钱包的核心逻辑是「用户掌握密钥」，imToken官方自始至终不存储任何用户的助记词、私钥或Keystore，官方绝不会以客服、邮件弹窗、系统通知等任何形式向用户索要上述敏感信息。
**风险警示**：2023年下半年，imToken安全团队监测到近1.2万起冒充客服索要密钥的诈骗，单案最高损失达500万元，此类诈骗话术多为「账户异常需验证身份」「升级钱包需重置密钥」，遇到此类情况，100%为诈骗，需立即拉黑对方，并通过imToken官网（token.im）内的官方反馈通道举报,切勿与诈骗者有任何资金往来。
imToken仅支持官方渠道安装包，切勿使用非官方版本
很多用户为图方便，从不知名应用市场、论坛下载所谓「破解版」「极速版」imToken，这类版本往往被植入木马病毒或恶意脚本：后台可实时窃取助记词、交易记录,甚至自动发起转账操作。
**官方渠道确认**：iOS版仅在苹果App Store上架，开发者为「Consenzy Ltd」；安卓版仅在谷歌Play商店（标注「imToken: Crypto Wallet」）与官网（token.im）提供，需警惕仿冒域名（如token.imk、im-token.com等），非官方版本的安全风险是官方版本的17倍，2022年超40%的资产被盗案例源于非官方安装包。
未备份助记词前，绝对不能删除/重装钱包
助记词是找回钱包的唯一凭证，imToken创建钱包时会引导用户备份12或24个助记词，不少用户嫌麻烦跳过备份，或备份后未妥善保存，一旦删除APP、更换设备或重装系统，没有助记词就永远无法找回钱包,资产也会随之永久丢失。
**正确备份方式**：务必将助记词抄写在不联网的纸质介质上，存放在防火、防潮的安全位置，绝不能存储在手机相册、云笔记或聊天记录中——这些渠道易被黑客通过漏洞获取，2022年imToken安全报告显示，约32%的资产丢失案例源于用户未备份助记词就操作钱包。
转账前必须确认地址与链类型，不能向陌生地址/错误链转账
钓鱼网站、诈骗链接常诱导用户点击，要求将代币转到指定地址，或混淆链类型（如把以太坊ERC20地址当成波场TRC20地址），imToken转账时虽有格式校验，但无法识别地址对应的链是否匹配——跨链错误的资产90%以上无法通过官方流程追回。
**操作建议**：转账前务必通过区块链浏览器（如Etherscan、Tronscan）输入收款地址，查看该地址所属链类型，确认与你要转的代币链一致后再操作，imToken的安全机制会拦截格式错误的地址，但无法判断地址是否为诈骗地址,需用户主动核实。
陌生DApp的授权请求一律拒绝，不能随意授权权限
使用去中心化应用（DApp）时，imToken会弹出授权请求，要求签署交易或授权代币，很多用户不看内容就点击「确认」，结果导致代币被莫名转账——这类授权通常是「无限授权」,黑客可随时提取账户内所有代币。
**授权规则**：仅对熟悉的官方DApp（如Uniswap、Aave等）授权，授权前务必看清DApp名称、授权的代币数量与用途；凡是在imToken内置DApp浏览器外跳转的DApp、名称模糊（如「UniSwap」写成「UniSw@p」）、无官方域名的DApp，一律拒绝授权，2024年第一季度,imToken安全团队拦截了超8000次恶意DApp授权请求。
相关阅读：
