保护密钥、设备与每一次授权

防丢：建立可验证的离线备份

创建钱包后，立即在无旁观、无录屏和无远程控制的环境中抄写助记词。核对字词、顺序和可读性，并根据环境选择防潮、防火和防意外丢失的介质。不要只依赖单一手机、截图或云端同步。

备份地点应兼顾可恢复性与隐私。多人可接触的抽屉、办公区域和普通相册都不适合。定期检查备份是否完整，但检查时不要拍照或把内容输入联网设备。

私钥与助记词保护

私钥能够直接签署对应地址的交易，助记词通常能恢复一组账户。任何获得它们的人都可能控制资产。不要把敏感信息交给客服、朋友、群管理员、所谓审计人员或恢复专家。

防骗与防钓鱼

常见骗局会仿冒官网、客服、空投、交易平台或项目方，以紧急风险、账户异常、补偿领取和高额奖励制造压力。核对完整域名、页面证书、链接来源和文字细节，不从搜索广告、短信短链或陌生二维码直接安装应用。

钓鱼网站可能显示与真实页面相似的界面，但会要求输入助记词或签署资产转移。发现异常后立即关闭，不继续尝试，不与对方共享屏幕，并通过自己保存的入口检查账户状态。

设备与浏览器安全

• 保持系统、浏览器和安全组件更新，删除来源不明的软件与扩展。
• 不要在越狱、Root、共享或长期无人维护的设备中处理重要账户。
• 避免使用公共电脑和不可信 Wi-Fi 创建、导入或签署钱包操作。
• 关闭不需要的远程控制、录屏和无障碍权限，检查异常输入法与剪贴板工具。
• 为设备设置可靠锁屏，并避免与常用社交账户使用相同密码。

DApp 授权检查

代币授权可能允许智能合约在额度内使用资产。连接 DApp 前核对站点、网络、合约和用途；授权时尽量使用满足操作所需的合理额度。对于看不懂的签名、无限额度或陌生合约，应取消操作。

定期查看授权列表，撤销不再使用或可疑的合约权限。断开连接不等于撤销链上授权，撤销需要提交交易并支付相应网络费用。操作时仍要核对合约地址，避免进入假授权管理网站。

转账前的四项核对

1. 网络：接收方明确支持哪条链，手续费资产是否充足。
2. 地址：复制后核对开头和结尾字符，防止剪贴板被替换。
3. 资产与金额：确认代币合约、精度、数量和必要的 Memo。
4. 测试：新地址或大额操作先小额发送，确认后再继续。

资产转出并被网络确认后，通常无法由钱包单方面撤回。不要向陌生人提供的“安全地址”“验证地址”或“解冻地址”转账。

远程控制与社会工程风险

冒充客服的人常要求安装远程控制软件、共享屏幕或开启无障碍权限，然后引导用户打开助记词、输入密码或发起转账。正规排查只需要公开地址、交易哈希、网络名称和非敏感错误信息。任何超出这些范围的要求都应拒绝。

发现异常后如何处理

立即停止签名和转账，断开可疑站点，检查授权、设备和浏览器扩展。若仍能安全控制账户，可考虑撤销授权或把资产转移到新创建且已安全备份的地址，但不要在受感染设备上操作。保存公开交易哈希和页面证据，用于后续说明。

不要相信能够保证追回资产的个人或收费服务，也不要继续支付所谓解锁费、税费或保证金。涉及重大损失时，可根据所在地区实际情况向合适的执法或网络安全机构咨询。