安全实战与案例库中级123 次阅读
钱包被清空后的 5 个步骤
被清空后不要先想着追款：按顺序确认被盗范围、转移剩余资产、撤销授权、保留证据，把损失止在当前这一步。
#安全#被盗应急#资产转移#撤销授权#留存证据
一句话结论
被清空后最要紧的不是追回，而是立刻止损：先确认范围，再保住剩下的资产，最后才是留证据和报案。顺序错了，损失会继续扩大。
第一步：先确认被盗范围
先别看别人怎么说，自己把事实看清：
- 在区块浏览器里打开你的地址，看转出记录：哪些资产被转走、转到了哪个地址、发生在什么时间
- 判断是私钥泄露还是授权被盗：多种资产被一起转走、且 Gas 由你的地址支付，通常是私钥泄露；只有你授权过的那一种代币被转走，多半是授权被利用
- 盘点还有什么是没被动用的：其他链上的余额、NFT、质押中的仓位、挂单、交易所里的余额
这个判断决定后面怎么做。如果是私钥泄露，旧地址就已经不能再用了。
第二步：把剩余资产转到全新钱包
- 新建一个钱包，助记词在新设备上离线生成，绝不复用旧的助记词或私钥
- 从旧地址把还没被转走的资产转进新钱包
- 有未领取的质押奖励、未撤的流动性、挂单，能撤就撤、能领就领
- 如果担心旧地址被脚本实时监控（刚打进去 Gas 就被抢走），优先走私有交易通道，或直接放弃小额遗留资产
这一步的优先级高于撤销授权：钱先保住，再谈清理。
第三步：撤销旧地址的授权
地址虽然暴露了，但撤销授权仍然有价值——如果泄露只涉及某一处授权而不是私钥，撤销就直接切断了攻击者的提款通道。
把旧地址连到授权查询工具，把授权逐条撤销。注意顺序问题：撤销需要 Gas，而往被监控的地址转 Gas 可能被抢，所以先转移剩余资产，再考虑撤销。
第四步：保留证据，判断要不要报案
无论最终是否报案，先把证据固定下来：
- 保存交易哈希、转账时间、对方地址的截图
- 记录你最后一次正常操作的时间与场景：点过什么链接、签过什么
- 如果资金与交易所充提相关，立刻联系交易所客服并提交工单
整体追回概率很低，但涉及大额诈骗、有明确钓鱼域名或平台责任时，报警与向平台举报仍值得做，链上资金流向也可能被安全机构追踪。
给你的教训
- 顺序是止损，不是追款：先建新钱包转移剩余资产，再撤销授权，最后才谈报案。
- 私钥泄露过的地址永远不要再使用，也不要为了抢救小额资产把新钱包的凭证暴露给它。
- 被清空不代表没救了：只要还有资产没被动用，动作够快就能保住。
- 平时就要做两件事：资产分散在多个钱包、定期撤销授权——它们决定了这次你能保住多少。