去中心化应用通常通过网页提供交易、借贷、NFT 或其他链上功能。用户使用 imToken 连接这些应用时，可能需要授权读取公开地址、签署消息或提交链上交易。
然而，页面外观并不能证明网站真实可靠。仿冒网站可以复制品牌标志、颜色和功能介绍，甚至使用与官方名称相似的域名。连接钱包前确认网站身份，是减少钓鱼风险的重要步骤。
一、为什么页面看起来正规也可能有风险？
网站设计可以被复制。诈骗者可能模仿知名项目的首页、交易页面和帮助文档，让用户误以为自己正在访问官方服务。
有些仿冒网站还会使用相似的域名拼写、额外的字符或不同的后缀。用户如果只看页面标题和图标，可能忽略地址栏中的细节。
因此，判断网站身份时，应重点核对域名、官方入口和相关合约地址，而不是单纯依赖页面视觉效果。
二、如何找到可信的官方入口？
可以从项目已有的正式公告、可信文档或其他长期使用的官方渠道获取网站入口。对于重要操作，最好通过多个独立来源进行确认。
不要直接相信陌生人私信发来的“官方链接”，也不要因为某个搜索结果排在前面，就认定它一定属于项目方。
如果项目在不同网络上提供多个应用入口，应确认当前访问的版本和网络是否符合自己的使用目的。
三、连接钱包前应该检查什么？
首先，确认浏览器地址栏中的域名完整正确。特别注意字母替换、额外字符和相似后缀。
其次，查看网站要求的操作范围。普通连接、消息签名、代币授权和链上交易是不同的动作，不能一概而论。
第三，确认当前钱包账户和网络。某些应用只支持特定链，错误网络可能导致操作失败或产生额外费用。
第四，如果页面要求输入助记词、私钥或钱包密码，应立即停止。正常的去中心化应用连接流程不需要用户把完整恢复信息交给网站。
四、合约地址也需要核对吗？
需要。即使网站入口真实，用户仍应确认交易所涉及的合约地址和操作内容。项目可能存在不同版本的合约，也可能在多个网络部署不同实例。
如果网站提供代币兑换、借贷或 NFT 交易功能，应根据具体操作核对目标合约和交易参数。不要仅凭项目名称就默认每个合约都属于官方。
对于涉及授权的操作，还应检查授权对象和权限范围，确认它们与当前使用目的相符。
五、连接后出现异常提示怎么办？
如果网站突然要求签署不明消息、提交与当前操作无关的交易，或要求进行紧急验证，应暂停操作。
可以退出页面，通过可信渠道核实该流程是否正常。如果无法确认，就不要为了完成操作而继续点击。
如果已经签署或提交交易，应保存相关信息，并检查是否发生链上授权或资产转移。不能仅凭页面显示“验证失败”，就认为没有产生任何链上影响。
六、如何管理长期使用的网站？
可以保存可信的官方入口，并在使用前核对域名是否发生变化。对长期不用的应用，应避免保留不必要的连接状态，并定期检查相关授权。
需要注意，断开网站连接和撤销链上授权不是同一回事。即使页面已经退出，过去授予的某些合约权限也可能仍然有效，需要根据实际链上状态核实。
对于重要资产，建议减少不必要的授权和交互，避免为了领取不明奖励而频繁连接陌生网站。
七、使用imToken连接应用的基本原则
先核实网站，再检查钱包请求，最后确认交易内容。不要把页面设计、品牌名称或“官方验证”字样当作真实性保证。
钱包能够显示连接和签名请求，但用户仍然需要判断请求是否符合自己的目的。养成检查域名、合约地址和权限范围的习惯，比单纯依赖视觉识别更可靠。
