钱包被盗了怎么办：第一时间做什么，怎么不被二次收割
看到余额突然少了一大截、或者钱包里冒出莫名其妙的转出记录，那一瞬间手是抖的，我懂。但接下来几分钟你怎么做，往往决定你能不能保住剩下的、以及会不会被人趁乱再割一刀。这篇不绕弯，直接给你一个能照着做的顺序：先抢救还能动的资产，再排查怎么泄的，最后冷静复盘。中间穿插哪些动作其实是白费力气、哪些"帮你找回"的人是来收割你的，一并讲清。
第一时间先把剩下的资产转走
如果钱包里还有没被卷走的资产，第一优先级不是搞清楚谁干的、也不是报案，而是立刻把剩下的转到一个全新的、干净的钱包。因为只要攻击者掌握着你的私钥/助记词，或者还挂着某个能动你钱的授权，他随时可能回来把剩下的也搬走——你和他在抢时间。链上交易的不可逆，加上"账户即私钥"这套规则，以太坊开发者文档里有系统说明，这也是为什么"抢救"比"追回"现实得多。
动作要点：
- 新钱包要"全新"，且生成环境要干净。别在你怀疑已经中招的那台设备上建新钱包——如果是设备中了木马，新助记词一生成就又暴露了。尽量换一台你确信干净的设备，当场把新助记词离线抄好、核对好，方法见助记词怎么安全备份。
- 挑值钱的先转。多币种的情况下，先转走价值高、流动性好的，别卡在某个小币上耽误时间。转账前用地址校验核对新地址，慌乱中最容易转错（以太坊地址那套大小写校验和的来历见 EIP-55 标准，它能帮你发现抄错的地址）。
- 注意 gas。转 ERC-20 这类代币需要原生币付手续费，如果你的原生币也被盯着，可能你刚转一点 gas 进去就被自动划走（有种"清扫机器人"专干这个）。这种情况很棘手，优先保住能一次性转走的大头。
把能救的救出来，旧钱包就当它已经废了——以后绝不再往里放钱。
撤销你签过的可疑授权
不是所有被盗都靠偷助记词。现在很多是另一种：你的助记词没泄露，但你之前在某个网站签过一笔恶意授权，对方就靠这个授权把你某种代币慢慢搬走。这种情况下，光转移资产不够——那扇被你亲手签开的门还开着。
所以要去检查并撤销可疑授权：把你给各合约的授权过一遍，撤掉不认识的、不再用的、尤其是无限额度的。怎么看、怎么撤，我在代币授权的风险与撤销里手把手写过。想先快速摸清自己的授权暴露面，做一遍授权风险自查，它本地运行、不收集你的输入。
提醒一句：撤销授权本身也是一笔链上交易，要付 gas，也要在你能确认安全的环境里操作。如果你已经把资产转到新钱包，旧钱包的授权撤不撤其实意义不大了（里面没钱可搬）；但如果某些资产暂时挪不走，那就得赶紧把对应授权关掉止血。
排查泄露源：到底怎么被偷的
抢救完，得搞清楚是怎么漏的，否则换个新钱包可能再栽一次。常见的泄露源就那几类，对照排查：
- 助记词被数字化了。回想你有没有截图、存云盘、发过聊天、输进过某个"验证网站"。只要进过联网的地方，就该当它泄露。
- 设备中招。装过来路不明的软件、点过钓鱼链接、用过破解版应用、剪贴板被篡改过。如果怀疑设备，新钱包绝不要再碰这台机器。
- 签过恶意授权/签名。领空投、连不明网站、签了看不懂的弹窗。这类对应的是授权被盗，不是助记词泄露。
- 假钱包 App / 假官网。从非官方渠道下的钱包、域名差一个字母的网站，可能从一开始就是个壳。怎么识别看识别假钱包与钓鱼；比特币官网保护钱包那部分也反复强调只从官方渠道获取软件。
排查的目的不是追凶（链上转出基本追不回），而是确认新钱包不会重蹈覆辙。把可疑的源头都堵上，新钱包才算真正安全。
哪些动作其实是徒劳
慌乱中人容易做一堆没用的事，反而耽误抢救的时间窗。这几样心里有数：
改钱包本地密码。本地密码只锁这台设备，挡不住已经泄露的助记词。资产没转走之前，改密码给不了任何保护。
盯着区块浏览器看钱去哪了。看到资金转去了哪个地址，除了让你更焦虑，改变不了什么——链上转账不可逆，你盯着它也追不回。这点以太坊官方对"交易不可逆"讲得很清楚，可参考以太坊安全基础。
给对方地址转账"求归还"或"测试"。偷你钱的人不会因为你客气就还，反而暴露你还有活跃资产。
原地反复登录被盗钱包查看。如果是设备问题，你每登一次都在重复暴露。该做的是赶紧在干净设备上抢救，不是反复确认坏消息。
别被"找回服务"二次收割
被盗之后人最脆弱，骗子最清楚。你很快会在评论区、私信、群里碰到"专业追回""白帽帮你找回""输入助记词检测能否恢复"的人。把话挑明：这些几乎全是冲着你剩下的钱来的二次诈骗。
逻辑根本不成立——链上转出的钱靠技术追不回，能"找回"的人本质上是能动你钱的人，他凭什么帮你。真实剧本无非两种：骗你先付一笔"手续费/保证金"然后拉黑，或者骗你交出新钱包的助记词、再把你刚抢救出来的也卷走。所以记住：任何主动找上门、承诺能追回、要你先付费或要你交出助记词的，一律拉黑。这和助记词丢失后的骗局是同一类套路，细节也见助记词丢了怎么办。
如果金额较大、涉及明显诈骗，按你所在地的规定考虑正规报案/法律途径，但别对"链上追回"抱不切实际的期待，更别把希望寄托在主动找你的"高手"身上。
事后复盘：搞清这次怎么丢的、以后怎么防
风波过去，别急着翻篇，花点时间复盘——这是把一次损失变成长期免疫的唯一机会。
问自己几个问题：助记词当初是怎么保管的，有没有数字化？这次是偷助记词还是偷授权？哪台设备、哪个习惯是突破口？新钱包有没有避开同样的坑？把答案落到行动上：该重抄的备份重抄、该换的设备换、该清的授权定期清。想系统过一遍自己的保管漏洞，做一遍助记词安全自查；想检验自己对钓鱼场景的反应，做一遍防钓鱼测验，两者都本地运行、不收集输入。
整套自托管该怎么建立环环相扣的防线，建议回看自托管完全指南。说句实在的：被割过一次的人，往往是之后最警觉的人。把这次的教训记牢，用在每一次"先停一下、先核对"的谨慎上。