你的资金在转移，而你并未授权。或者余额突然归零。又或者有人告诉你，你的助记词已经泄露。
先停下来，深呼吸。现在按照以下步骤操作。
- 在可信设备上创建一个全新的钱包。
- 立即将剩余资产转入新地址。
- 尽快撤销旧钱包的授权。
- 如果交易所资金也被动用，冻结交易所账户。
- 切勿再次使用旧助记词。
如果正处于危机中，请从第一步开始，依次执行。
分析攻击原因：确定受损情况
在恢复之前，必须搞清楚被攻击的内容和方式。这将决定你接下来的每一步。
检查交易记录
使用区块浏览器，查看钱包地址近期的交易。重点查找未授权的转账和你不认识的代币授权。
识别攻击途径
交易记录中的异常，能揭示你被攻击的方式：
- Tokens drained via an approve() call you didn't make. 这是典型的钓鱼或钱包抽水攻击。攻击者诱导你签署授权，允许恶意合约无限制操作你的代币。此时助记词可能尚未泄露。请尽快检查并撤销相关授权。
- All funds sent to an unknown address in one transaction. 助记词或私钥很可能已泄露。旧钱包视为已废弃。请在干净设备上用全新助记词创建新钱包，绝不再使用旧地址。
- Exchange account emptied, no on-chain wallet movement. 这是针对交易所账户的钓鱼、SIM卡劫持或凭证泄露攻击，而非自托管钱包。请立即联系交易所，冻结账户并修改密码及双重认证。
- Small withdrawals over time. 若出现多次小额转出，说明设备可能感染了键盘记录器或远程控制恶意软件。在采取其他措施前，必须彻底清除设备数据。
Here's the honest issue: 热钱包的安全性完全依赖于所运行的设备。例如，MetaMask 会将助记词和私钥本地存储在浏览器或设备内，浏览器插件环境更易受钓鱼和恶意插件攻击。Trust Wallet 虽为非托管钱包，本地生成密钥，但依然属于热钱包，没有专用硬件安全模块。一旦设备感染恶意软件，设备和数据都将面临风险。
明确攻击途径后，才能判断是可撤销的授权问题，还是助记词已被烧毁。这两种情况的应对方式完全不同。
完整恢复流程
请严格按照以下顺序操作，切勿跳步。
第一步：在干净设备上创建新钱包
使用从未用于加密资产操作的设备。如果怀疑设备被感染，彻底清除后再用于加密相关操作。
可选方案：
- Best option: 购买硬件钱包，收到后再初始化设置。这样能从一开始就获得真正的安全保障。
- If you need access immediately，可在干净设备上新建 MetaMask 钱包，生成全新助记词。务必立即用纸张手写保存，并与设备分开放置，切勿拍照、上传云端或存入任何应用。
The key point: 助记词是一组 12 或 24 个单词，是钱包的主密钥。谁掌握它，谁就能控制资产。请用纸记录，妥善保管在物理安全的地方，绝不拍照或输入到任何网站。
第二步：立即转移剩余资产到新钱包
如旧钱包尚有资产，务必第一时间转入新地址。此操作优先于撤销授权、修改密码等。每一秒都很关键。
大多数情况下，加密货币转账一旦完成就无法撤回。资金一旦被攻击者转走，基本无法追回。因此，先把资产转出受损地址。
第三步：撤销旧钱包所有授权
即使资产已转移，也要尽快检查并撤销所有未失效的授权。WalletConnect 钓鱼攻击常通过恶意 dApp 请求授权，获取无限制代币操作权限。撤销授权能及时堵住漏洞。未撤销的授权，相当于为该地址收到的新代币敞开大门。
第四步：保护数字环境安全
如怀疑设备感染键盘记录器或远程控制恶意软件：
- 用另一台安全设备，修改邮箱、交易所及所有与加密资产相关账户的密码。
- 对受感染设备进行恶意软件扫描。若感染严重，建议彻底清除数据并恢复出厂设置。仅靠杀毒软件可能查不出专门针对加密资产的高级恶意软件。
- 开启双重认证（2FA）。
- 热钱包安全建议包括：使用强且唯一的密码、启用双重认证、钱包和操作系统保持最新、连接网站前核实网址。
第五步：向相关机构报告
报告通常无法直接追回资金，但依然很重要。
- Exchange funds taken: 立即联系交易所。平台可标记攻击者账户，若资金尚未转出，有可能冻结。
- Phishing site: 向 Google Safe Browsing 和 PhishTank 举报。
- Cybercrime authority: 向美国 IC3 或英国 Action Fraud 报案。虽然追回概率极低，但这些报告有助于反诈分析和他人防范。
One firm warning: 千万不要相信黑客事件后主动联系你的“恢复服务”。这些几乎都是针对受害者的二次诈骗。正规公司绝不会通过非官方渠道索要私钥、验证码或钱包验证信息。
重建：用硬件钱包开启新开始
你已经控制住损失。接下来，如何防止类似事件再次发生？
导致钱包被盗的常见原因有三种：助记词泄露（钓鱼、截图、云备份）、恶意软件（键盘记录、屏幕截取、剪贴板劫持）、或钓鱼网站导致的恶意授权。
这些问题本质上都是热钱包的结构性风险。
热钱包始终联网，私钥用于签名交易，且存储在联网设备上。所有软件钱包都面临同一根本风险：私钥存在于联网设备上。只要手机被攻破、点击钓鱼链接或数据泄露，资产就随时可能被盗。
Cold storage 让私钥始终离线，远离联网设备，从根本上降低被在线攻击窃取的风险。核心原则：私钥永不触网。
硬件钱包是一种专门用于离线生成和存储私钥的物理设备。签名操作在设备内部完成，签名数据传输到链上，私钥始终不暴露于联网环境。这类设备通过隔离环境，有效防范黑客、钓鱼、恶意软件和平台故障。对大多数用户而言，这是安全性与易用性兼顾的冷存储方案。
为什么 Tangem 是最佳选择
遭遇盗窃后重建钱包，最不想面对的就是再管理一组助记词。Tangem 的设计正好解决这个痛点。Tangem 在芯片激活时直接生成私钥，密钥不会以文本形式出现。默认无助记词设置，从源头消除助记词泄露风险。
每笔交易都需要将 NFC 卡贴近设备（0-5 厘米）进行物理确认。无论是否启用生物识别，Tangem 硬件钱包都必须实体卡片签名。Tangem 的 WalletConnect 集成了 Blockaid 交易模拟，可在签名前检测可疑 dApp。
安全芯片通过了 EAL6+ Common Criteria 认证。Kudelski Security（2018 年）和 Riscure（2023 年）均独立审计，未发现漏洞。固件为工厂预装且不可升级，杜绝了通过远程固件更新进行攻击的可能。两张卡售价 54.90 美元，初始化仅需 1-3 分钟。
One honest caveat: 若所有备份卡片丢失或损毁，资产将无法恢复，包括 Tangem 在内的任何机构都无法帮你找回。这是无助记词安全的代价。请将备份卡与主卡分开放置，比如保险箱、可信亲友或防火安全的地方。
Fresh start: Tangem 创建新钱包时，无需担心旧助记词。攻击仅限于旧钱包地址，新地址完全干净。
常見問題
-
大多数情况下无法追回。区块链交易不可逆转，资产一旦转出钱包，基本无望追回。如果攻击者将资金转入已知交易所，可立即联系该平台，若资金尚未转出，有可能被冻结。否则，请向 IC3 或 Action Fraud 报案，并接受损失。切勿相信所谓的“恢复服务”。
-
不安全。助记词一旦泄露，这组 12 或 24 个单词就永远失效。任何人掌握它，都能恢复出所有相关账户并永久控制。请务必用全新助记词，在干净设备上创建全新钱包。已泄露的助记词切勿再用。
-
如果怀疑感染了键盘记录器、远程控制木马或其他能窃取输入与剪贴板数据的恶意软件，彻底清空设备是唯一可靠的方法。仅用杀毒软件扫描并不彻底。专门针对加密资产的高级恶意软件可能绕过检测。建议恢复出厂设置或重装操作系统后，再用于加密资产操作。
-
你可能无法百分百确定。最明显的信号是：攻击者能完全控制所有账户（不仅仅是已授权的代币），说明他们导入了整个钱包，而不是只滥用授权。如果你曾拍照、上传云端、邮件、笔记应用保存助记词，或在后续感染恶意软件的设备上用过，都应视为已泄露。MetaMask 官方也明确表示，掌握 Secret Recovery Phrase 的人可访问所有相关账户。请立即重建新钱包。
-
助记词泄露意味着攻击者导入了整个钱包，永久掌控所有相关账户。授权被盗则是某个恶意智能合约获得了特定代币的操作权限，攻击者未掌握你的密钥，但可转走指定代币。授权问题可通过撤销和转移资产解决，助记词泄露则无法挽回，旧钱包地址将一直被攻击者控制。
-
小心当然重要，但无法改变根本架构。热钱包私钥存于联网设备，这就是攻击面。硬件钱包将密钥隔离于离线环境，防范黑客、钓鱼、恶意软件和平台故障。标准做法是热钱包只存日常小额资金，主资产转入冷钱包。钱包被盗后，迁移到硬件钱包才是结构性安全方案。
