学院 / 安全应急
钱包被盗后的 24 小时：按这个顺序做，能少损失多少
资产被转走的那一刻，最贵的不是钱，是慌乱。下面按时间顺序列出该做什么、不该做什么。先做能止损的，再做要留证的。
0–10 分钟：先止血
- 断开钱包与所有 dApp 的连接（在钱包设置里「清除连接」）
- 如果助记词可能泄露，立刻创建一个全新钱包，绝不复用旧助记词
- 把还没被转走的资产转到新钱包（同一链优先，注意留 Gas）
- 不要再登录任何陌生网站，也不要扫码签名
10–60 分钟：查授权、查路径
打开 revoke.cash 或对应链的授权查询工具，连上旧钱包（只读查看，不要签名），逐条撤销不认识的授权。撤销本身需要 Gas，所以旧钱包里要留一点余额。
然后在区块浏览器查转出交易的 To 地址，记录对方的收款地址。这个地址后续可用于报案与社区标记。
重要
只要助记词/私钥泄露，撤销授权是没用的——攻击者可以直接重建钱包。这种情况必须换新钱包并放弃旧地址。
1–24 小时：留证与上报
- 截图保存：被盗交易哈希、对方地址、时间、金额
- 如果是交易所提币被转走，立即联系平台风控，部分情况可拦截
- 向当地警方报案，带上交易记录与地址清单
- 在 Chainabuse 等平台标记对方地址，帮助后来者
- 复盘入口：钓鱼网站？恶意签名？助记词存网盘？假客服？
绝对不能做的四件事
| 找「链上追回服务」 | 几乎全是二次诈骗，会先收「手续费」 |
| 给「黑客」付赎金 | 没有履约保障，且可能被继续勒索 |
| 在社群里公开助记词求帮助 | 等于把剩下的资产也送出去 |
| 继续用旧钱包收币 | 新入账会被立刻转走 |
怎么判断是哪一类被盗
| 现象 | 最可能原因 |
|---|---|
| 只丢了一种币，其他还在 | 恶意授权（approve）被利用 |
| 所有资产被一次性清空 | 助记词/私钥泄露 |
| 签名后立刻被转走 | 钓鱼网站诱导签了转账或授权 |
| 收到陌生代币后被转走 | 「空投代币」诱导交互 |
以后怎么避免
- 大额资产放硬件钱包，交互用小额热钱包
- 每月做一次授权清理
- 助记词只离线保存，不截图、不存网盘、不发微信
- 任何「客服」主动联系你，一律当诈骗
常见问题
币被转走了还能追回吗？
极难。链上交易不可逆，除非交易所在入金环节拦截。报案与标记地址是现实做法，但要管理预期。
撤销授权就能保住资产吗？
只在「仅授权泄露、私钥未泄露」的情况下有效。助记词泄露必须换钱包。
需要换手机吗？
如果怀疑设备被植入木马，建议换设备或重装系统后再导入新钱包。
旧钱包还能用吗？
不要再用。即使暂时没被转空，地址已暴露，后续入账会被立刻转走。
报案有用吗？
对个案追回帮助有限，但报案记录是后续维权与平台配合的前提，也能推动地址标记。
怎么知道是授权被盗还是私钥泄露？
看是否只丢了特定代币、是否有你不认识的 approve 记录，以及是否所有资产同时被清空。
本文为安全应急整理，不构成法律建议。 最后更新：2026-10-20。