⚠ 本文仅为信息教育用途,不构成投资 / 法律 / 安全建议,也不能替代警方或专业人士。链上转账一经确认不可逆:本文讲的是止损与固证,不是追回。完整披露见 免责声明。

先把最难听的一句说完:已经转出去的那部分,不要按能拿回来去规划接下来的动作。链上交易被打包确认之后没有客服能撤单,也没有一个按钮能回滚。本文全篇的目标只有三件事——止住还在流的血、保住还没被动的、把证据留成能报案的样子。至于那句「30 分钟」,它是给你排优先级用的比喻,不是承诺:很多情况在你看到通知之前就已经结束了,而另一些情况里,你还有时间。你现在还分不清自己属于哪种,所以先按有时间来做。

先查交易与权限,不要靠余额下诊断

授权滥用、恶意转账、链下签名、账户委托和密钥泄露都可能造成损失。先保存实际交易哈希和签名请求,用对应链的浏览器检查发起者、调用与资产转移。

不能排除密钥泄露时,在可信环境准备独立的新密钥保护剩余资产。迁移本身也有地址、费用与抢先转账风险,不是无损保证。只泄露单个私钥与泄露种子的影响范围不同,同一 APP 也可能管理独立导入账户。

链下 Permit 或订单签名要查 deadline、nonce 与实现。普通撤销当前额度未必使未使用签名失效。中心化交易所账户被盗则应走平台冻结与凭证处置流程,不能照搬自托管步骤。

如果是授权被利用:撤销能切断权限,但只对这一类有用

撤销授权的作用是让对方失去继续从你地址里搬币的权限,它管的是「接下来」,管不了「已经」。已经转走的部分不会因为你撤销而回来,这一点必须先接受,否则你会在错误的地方投入时间。

查授权用什么工具都行,常见的做法是打开一个授权查看站,把地址粘进去就能看到这个地址给出过哪些授权、额度多大。这一步不需要连钱包——看是看,撤是撤。真要撤销,得由持有这些授权的那个地址发一笔链上交易并签名,签名在你自己的钱包里完成,而且要付手续费。任何让你「把助记词导入进来帮你一键清理」的页面,都是新的事故源。授权机制本身和具体撤销步骤,站内的代币授权撤销指南写过,这里不重复。

先撤销还是先迁移,取决于可用交易、受影响权限、剩余资产与攻击是否仍在进行。多个代币或多条链的迁移不一定比撤销快。用实际交易估算比较,不要把余额大小当成通用顺序;不再给尚未排除风险的地址补资。

密钥泄露后:撤销不能恢复独占控制权

撤销可以移除某项权限,但不能恢复对已泄露密钥的独占控制。对普通密钥账户,掌握必要凭据的人仍可签新交易、重新授予权限。应在可信环境准备独立新密钥,保护还能安全转移的资产。

实际范围还取决于额外恢复凭据、账户类型与其他控制。智能账户可能设有多签阈值或恢复机制;一个签名者密钥泄露是否足以控制账户,需要检查配置,不能一概断言。

一、新地址必须有独立且未暴露的密钥来源。同一旧种子下再派生账户不能隔离种子泄露。应用也可能管理独立导入或硬件账户,要核对来源而非只看 APP 名。

二、新助记词要在一台你确信干净的设备上生成。出事的那台电脑或手机本身可能就是泄露源——被装了恶意浏览器扩展、剪贴板被监听、装过来路不明的软件。在一台可能已经被控制的设备上生成新种子,等于当着对方的面重新抄了一遍。手边只有这一台设备,就借一台干净的、或者先把资产转到一个你完全控制的其他去处,把生成新种子这件事往后放,别在污染的环境里做。

三、发现手续费补资异常就停下查原因。攻击者可能自动转走刚补入的原生币,但转账失败也可能有其他原因。不要用「再充两次」验证是否有人盯着地址,更不要持续追加损失。

抢救的先后顺序:能一笔转走的先转,金额大的先转。此刻不要做兑换、不要跨链、不要为了凑手续费去卖币——每多一步就多一次签名、多一次等待。质押中、锁仓中、有解锁周期的部分排在最后,拿不出来就先放着;小额的、垃圾空投的代币直接放弃,不值得为它多签一次。

还有一条要记死:出事的这组助记词从此永久作废。不是「以后小心点再用」,是再也不往这里转任何有价值的东西。地址可以留着查记录,种子不能再用。

头 30 分钟的顺序:止血 → 转移 → 固证 → 报案

为什么是这个顺序,一句话就能说清:会消失的东西先做,不会消失的东西后做。你的余额有时间窗口,链上记录没有——交易哈希、对手方地址、时间戳留在链上,一小时后、一周后都还在,谁都能查。所以先抢资产,再抢证据,这不是把报案看轻,而是先后有别。

停止新增暴露。断开可疑网站、停止签名,必要时将疑似受控设备断网。退出 APP 或断开连接不会撤销链上权限,也不会阻止拿到密钥的攻击者;后续权限处置需在可信环境完成。不要向所谓恢复服务输入助记词或共享屏幕。

转移(第 5–15 分钟)。按上面两节的分类执行:授权类按权限范围、剩余资产、所需交易数与安全签名条件决定先转还是先撤;种子泄露类的只做一件事,把剩余资产转到全新助记词的新地址。如果一时来不及安全地生成新种子,把资产先转到另一个你完全控制、且从未与本次事故有关的去处,也好过留在原地。

固证(第 15–25 分钟)。下一节展开。核心是把每一笔可疑转出的交易哈希抄下来,连同对手方地址、时间和金额。

报案(第 25 分钟起)。报案渠道按你所在的司法辖区走。美国的受理入口是 FBI 下属的互联网犯罪投诉中心(IC3),官方公告里的措辞是「Do not wait」,让受害者直接去 ic3.gov 提交投诉;其他地区以当地执法机关的公开指引为准。这里要坦白说清楚:报案的意义在于把你的地址、哈希和经过并进执法机关的记录,以及在资金最终流向某个中心化平台时,由执法与平台按各自的程序处理。这一段不由你控制,也不该被当成一个可预期的结果。不报案,连这点可能性都没有;报了案,也请按「已经损失掉了」来安排自己的生活。

如果你的地址在收到通知之前就已经被搬空,前两步就没有对象了,直接从固证开始做。

固证要留什么?照官方那张清单抄就行

要留的东西只有四样:交易哈希、涉及的钱包地址、金额与币种、日期与时间。这不是我总结的,是 FBI 在 2023 年 8 月 24 日那则给加密受害者的公告(Alert Number I-082423-PSA)里逐项列出来的,原文写的是:「The most important information you can provide are transaction details.」——你能提供的最重要的信息就是交易细节。公告还专门用一张表举了例子。

公告里还有一句很实用:「If you are unsure whether transaction information you have is relevant, please include it.」——拿不准某条信息相不相关,就一起交上去,别自己先筛。除了交易细节,它还要求提供你最初是在哪里、怎么碰上对方的,以及你和对方的通信记录(邮件、短信之类)和里面出现过的名字、邮箱、电话。所以聊天记录、那个网站的完整网址、你点进去的那条推文,现在就截图存好,别删。

一个执行上的要点:给哈希比给截图有用。截图可以被质疑,哈希是链上公开且不可篡改的凭据,任何人拿着它都能复核同一笔交易。怎么从一笔交易里读出这几个字段,站内的怎么读区块浏览器上的一笔交易逐字段讲过。多笔被盗就把每一笔都抄一遍,做成一张按时间排的表。

两句提醒:保留证据不等于继续使用,出事的地址留着查记录没问题,但别再往里转钱;助记词永远不进入证据材料,报案不需要你的私钥,任何要你交出助记词的人,不管自称什么身份,都是下一个骗子。

第二拨人正在赶来:声称能帮你追回的那些

同一则公告的第一段里,官方给了一句直接的警告:「Be wary of anyone claiming they can recover your funds as this may be another scam.」——对任何声称能帮你追回资金的人保持警惕,这可能是另一场骗局。这句话被写在给受害者的行动指引最前面,位置本身就说明了问题。

IC3 在 2026 年 7 月 20 日还发过另一则公告(Alert Number I-072026-PSA),主题是有人冒充 IC3 本身去接触受害者。那则公告里有一句可以直接拿来当判据:「IC3 will never ask for payment to recover lost funds, nor will IC3 refer someone to a company requesting payment for recovering funds.」——IC3 绝不会为了追回损失向你收费,也不会把你转介给一家收费追款的公司。任何以官方名义找上门、并且谈到付费的,判据在这里已经写死了。

他们来得快,机制上也不神秘:你的损失在链上是公开的。被盗地址、金额、时间任何人都能查到。你不用到处诉苦他们也会找上你——发帖求助之后,只会更快。

下面这些特征,命中任意一条就该停下:

• 是对方主动联系你的。私信、评论区、加你好友,尤其是在你刚公开提过被盗之后。
• 要你先付钱。叫什么名目都一样:保证金、解冻费、手续费、律师费、gas 费。
• 要你的助记词或私钥。没有任何正当的排查需要这个,一次都不需要。
• 要你签一笔「验证交易」或者连一个「资产验证」页面。这就是第二次授权攻击本身。
• 拿一堆成功案例截图当证据。截图是这个世界上最便宜的东西。
• 自称是执法机关、交易所安全部门或钱包官方,却从社交平台私信过来。核实身份要走官方公开渠道,不要用对方给你的链接和号码。

本站不推荐、也不会转介任何声称能代为追回资产的服务,一个名字都不给。你在这个阶段应该做的,是把上一节固证好的材料交给该交的地方,然后停手。被盗之后最贵的一笔损失,常常不是第一次,而是第二次。

头 30 分钟行动清单

等这一天过去,该改的是这几件事

缓过来之后别急着回到原来的用法。先把「这次是怎么进来的」写下来:哪台设备、哪个链接、签了什么、什么时候。写不出来的部分就是你的盲区,也是最可能再来一次的地方。

然后是四件具体的事。

设备卫生。如果判断是种子泄露,那台设备在没被彻底清理之前不要再碰钱包:检查浏览器扩展、清掉来路不明的软件,必要时重装系统。顺手把可能同步过助记词照片的云账号密码改掉,并开启两步验证。

重建备份纪律。新助记词离线记录,按钱包官方流程核验,确认前保留原有可用访问,不先卸载唯一钱包。硬件助记词不要输入网页或联网软件。

把钱分开放。按权限与密钥风险控制余额敞口,避免长期持仓与陌生应用共用账户。方法见钱包分仓策略。

补上识别能力。授权类事故几乎都始于一次没看懂的签名,常见的诱导套路和签名弹窗里该看哪几行,见钱包反诈手册;旧授权定期清理的做法在代币授权撤销指南。

最后一句给此刻还在难受的人:被盗不代表你笨。链上把不可逆和自我保管绑在一起,门槛本来就高,而攻击方是全职在做这件事的。你现在能做的,是把这次的损失锁死在已经发生的范围里,不让它继续延伸到第二次。

---

FAQ · 7 个此刻最常问的

本文引用源

1. FBI 公共服务公告《FBI Guidance for Cryptocurrency Scam Victims》(Alert Number I-082423-PSA,2023-08-24)·报案要提供的交易细节清单与「Be wary of anyone claiming they can recover your funds」原文 · ic3.gov/PSA/2023/PSA230824
2. FBI 公共服务公告《FBI Warns of Scammers Impersonating the IC3》(Alert Number I-072026-PSA,2026-07-20)·「IC3 will never ask for payment to recover lost funds」原文 · ic3.gov/PSA/2026/PSA260720
3. BIP-32 分层确定性钱包(一个种子派生整棵密钥树) · github.com/bitcoin/bips · bip-0032
4. BIP-44 多账户层级(account 层与「不混币」的原始表述) · github.com/bitcoin/bips · bip-0044
5. ethereum.org · Gas 与手续费技术概览(链上操作须用原生币支付手续费) · ethereum.org/en/developers/docs/gas
6. ethereum.org · 安全与防骗指引 · ethereum.org/en/security
7. Revoke.cash 首页(未连接钱包时的授权查看入口,图 1 出处) · revoke.cash

事后整理签名记录时,可对照钓鱼提示的识别方法。