钓鱼与诈骗
“钓鱼与诈骗”常常同时出现多个相似信息，因此仅凭名称或界面并不足以做决定。实际使用时，仿冒网站常使用相似域名或搜索广告引流；与此同时，假客服可能主动私聊并索取秘密信息。再结合假空投会利用免费资产诱导连接和签名，用户才能把看到的提示与真实链上状态连接起来。本页重点建立一套可重复的核对方法，而不是记忆某个页面或某个按钮。
在“钓鱼与诈骗”相关操作中，助记词和私钥始终由用户自行保管，imtoken 官方不会索取助记词、私钥或验证码。转账、签名或授权前，应重新核对地址、网络、合约对象、金额与权限范围。链上交易通常无法由钱包单方面撤回，第三方 DApp 与智能合约也可能存在风险；当请求内容与预期不一致时，应先停止并使用公开信息确认状态。
本页目录
核心原则：仿冒网站常使用相似域名或搜索广告引流常见风险场景：假空投会利用免费资产诱导连接和签名识别方法：远程控制软件会让第三方看到并操作设备处理建议：社交媒体账号名称可以被仿冒日常核对习惯：要求输入助记词或私钥的网页应立即停止使用核心原则：仿冒网站常使用相似域名或搜索广告引流
重点理解：假客服可能主动私聊并索取秘密信息
“核心原则：仿冒网站常使用相似域名或搜索广告引流”更适合被当作一条持续执行的安全原则，而不是一次设置后就可以忽略的选项。仿冒网站常使用相似域名或搜索广告引流，这意味着用户需要先识别敏感信息、请求来源和当前网络，再判断页面或应用所要求的动作是否合理。与此同时，假客服可能主动私聊并索取秘密信息。因此在“钓鱼与诈骗”场景里，不要用熟悉的名称替代技术核对，任何无法解释来源、对象或权限范围的请求都应暂停，不能因为界面熟悉、时间紧迫或对方自称客服而降低核对标准。
处理这一类风险时，可以把“重点理解：假客服可能主动私聊并索取秘密信息”转化成具体动作：先检查域名、地址、网络、合约对象与权限范围，再比较操作前后的预期差异。假空投会利用免费资产诱导连接和签名提供了一个重要判断点，而倒计时和紧迫话术常用于压缩核对时间提醒用户注意长期暴露或后续影响。把长期权限和一次性交易分开管理；如果需要排查，只使用地址、网络、交易哈希等公开信息。助记词、私钥和验证码不属于排查资料，也不应被输入到来历不明的网页、聊天窗口或远程控制会话中。
- 先确认仿冒网站常使用相似域名或搜索广告引流。
- 再判断假客服可能主动私聊并索取秘密信息与当前请求的关系。
- 把假空投会利用免费资产诱导连接和签名作为独立核对点。
常见风险场景：假空投会利用免费资产诱导连接和签名
重点理解：倒计时和紧迫话术常用于压缩核对时间
“常见风险场景：假空投会利用免费资产诱导连接和签名”更适合被当作一条持续执行的安全原则，而不是一次设置后就可以忽略的选项。假空投会利用免费资产诱导连接和签名，这意味着用户需要先识别敏感信息、请求来源和当前网络，再判断页面或应用所要求的动作是否合理。与此同时，倒计时和紧迫话术常用于压缩核对时间。因此在“钓鱼与诈骗”场景里，遇到信息不一致时先停止操作，任何无法解释来源、对象或权限范围的请求都应暂停，不能因为界面熟悉、时间紧迫或对方自称客服而降低核对标准。
处理这一类风险时，可以把“重点理解：倒计时和紧迫话术常用于压缩核对时间”转化成具体动作：先检查域名、地址、网络、合约对象与权限范围，再比较操作前后的预期差异。远程控制软件会让第三方看到并操作设备提供了一个重要判断点，而二维码和短链接隐藏真实目标地址提醒用户注意长期暴露或后续影响。在跨网络场景中尤其要避免“看起来一样”的假设；如果需要排查，只使用地址、网络、交易哈希等公开信息。助记词、私钥和验证码不属于排查资料，也不应被输入到来历不明的网页、聊天窗口或远程控制会话中。
- 先确认假空投会利用免费资产诱导连接和签名。
- 再判断倒计时和紧迫话术常用于压缩核对时间与当前请求的关系。
- 把远程控制软件会让第三方看到并操作设备作为独立核对点。
识别方法：远程控制软件会让第三方看到并操作设备
重点理解：二维码和短链接隐藏真实目标地址
“识别方法：远程控制软件会让第三方看到并操作设备”更适合被当作一条持续执行的安全原则，而不是一次设置后就可以忽略的选项。远程控制软件会让第三方看到并操作设备，这意味着用户需要先识别敏感信息、请求来源和当前网络，再判断页面或应用所要求的动作是否合理。与此同时，二维码和短链接隐藏真实目标地址。因此在“钓鱼与诈骗”场景里，把操作前与操作后的状态都记录下来，任何无法解释来源、对象或权限范围的请求都应暂停，不能因为界面熟悉、时间紧迫或对方自称客服而降低核对标准。
处理这一类风险时，可以把“重点理解：二维码和短链接隐藏真实目标地址”转化成具体动作：先检查域名、地址、网络、合约对象与权限范围，再比较操作前后的预期差异。社交媒体账号名称可以被仿冒提供了一个重要判断点，而公开交易哈希不能证明对方是官方人员提醒用户注意长期暴露或后续影响。把等待状态与失败状态区分开来；如果需要排查，只使用地址、网络、交易哈希等公开信息。助记词、私钥和验证码不属于排查资料，也不应被输入到来历不明的网页、聊天窗口或远程控制会话中。
- 先确认远程控制软件会让第三方看到并操作设备。
- 再判断二维码和短链接隐藏真实目标地址与当前请求的关系。
- 把社交媒体账号名称可以被仿冒作为独立核对点。
处理建议：社交媒体账号名称可以被仿冒
重点理解：公开交易哈希不能证明对方是官方人员
“处理建议：社交媒体账号名称可以被仿冒”更适合被当作一条持续执行的安全原则，而不是一次设置后就可以忽略的选项。社交媒体账号名称可以被仿冒，这意味着用户需要先识别敏感信息、请求来源和当前网络，再判断页面或应用所要求的动作是否合理。与此同时，公开交易哈希不能证明对方是官方人员。因此在“钓鱼与诈骗”场景里，把网络上下文作为每一步的基础条件，任何无法解释来源、对象或权限范围的请求都应暂停，不能因为界面熟悉、时间紧迫或对方自称客服而降低核对标准。
处理这一类风险时，可以把“重点理解：公开交易哈希不能证明对方是官方人员”转化成具体动作：先检查域名、地址、网络、合约对象与权限范围，再比较操作前后的预期差异。要求输入助记词或私钥的网页应立即停止使用提供了一个重要判断点，而处理异常时应从可信入口重新找到官方页面而非继续点击聊天链接提醒用户注意长期暴露或后续影响。完成操作后再做一次独立核对；如果需要排查，只使用地址、网络、交易哈希等公开信息。助记词、私钥和验证码不属于排查资料，也不应被输入到来历不明的网页、聊天窗口或远程控制会话中。
- 先确认社交媒体账号名称可以被仿冒。
- 再判断公开交易哈希不能证明对方是官方人员与当前请求的关系。
- 把要求输入助记词或私钥的网页应立即停止使用作为独立核对点。
日常核对习惯：要求输入助记词或私钥的网页应立即停止使用
重点理解：处理异常时应从可信入口重新找到官方页面而非继续点击聊天链接
“日常核对习惯：要求输入助记词或私钥的网页应立即停止使用”更适合被当作一条持续执行的安全原则，而不是一次设置后就可以忽略的选项。要求输入助记词或私钥的网页应立即停止使用，这意味着用户需要先识别敏感信息、请求来源和当前网络，再判断页面或应用所要求的动作是否合理。与此同时，处理异常时应从可信入口重新找到官方页面而非继续点击聊天链接。因此在“钓鱼与诈骗”场景里，不要通过重复提交来试探未知状态，任何无法解释来源、对象或权限范围的请求都应暂停，不能因为界面熟悉、时间紧迫或对方自称客服而降低核对标准。
处理这一类风险时，可以把“重点理解：处理异常时应从可信入口重新找到官方页面而非继续点击聊天链接”转化成具体动作：先检查域名、地址、网络、合约对象与权限范围，再比较操作前后的预期差异。仿冒网站常使用相似域名或搜索广告引流提供了一个重要判断点，而假客服可能主动私聊并索取秘密信息提醒用户注意长期暴露或后续影响。先把界面提示与链上事实分开看；如果需要排查，只使用地址、网络、交易哈希等公开信息。助记词、私钥和验证码不属于排查资料，也不应被输入到来历不明的网页、聊天窗口或远程控制会话中。
- 先确认要求输入助记词或私钥的网页应立即停止使用。
- 再判断处理异常时应从可信入口重新找到官方页面而非继续点击聊天链接与当前请求的关系。
- 把仿冒网站常使用相似域名或搜索广告引流作为独立核对点。
操作核对清单
- 核对仿冒网站常使用相似域名或搜索广告引流。
- 核对假空投会利用免费资产诱导连接和签名。
- 核对远程控制软件会让第三方看到并操作设备。
- 核对社交媒体账号名称可以被仿冒。
- 核对要求输入助记词或私钥的网页应立即停止使用。