钱包出了状况，转账之前先回答一个问题：对方手里有的是你的助记词或私钥，还是只有你签过的一笔授权。两种情况的处置方向不同，走错了，要么白忙一场，要么漏掉真正的口子。
先判断：是助记词泄露，还是只给了恶意授权
助记词或私钥泄露：对方能像你一样签任何交易。这组助记词下的所有账户、所有链都不再安全。这时候撤销授权没有用，因为他根本不需要授权。办法只有一个：换一套新助记词，把资产搬过去。
恶意授权：对方能动的只有你授权过的那个币种、那个额度以内的部分。助记词没有泄露，地址可以继续用，把授权撤掉就止住了。
怎么判断属于哪种，看下面这张表：
| 你遇到的情况 | 按哪种处理 | 说明 |
|---|---|---|
| 在网页、表单或聊天里输入、发送过助记词或私钥 | 泄露 | 不管对方自称恢复钱包、验证地址还是领取空投 |
| 助记词被截屏、拍照，或存进过云盘、邮箱、聊天记录 | 泄露 | 那个云账户或聊天账户一旦被人登录，助记词就在对方手里 |
| 设备上发现陌生的浏览器扩展、进程或远程控制登录 | 泄露 | 剪贴板和键盘输入都可能被读走 |
| 链上出现你没发起的转出，交易的发起地址（From）就是你自己的地址 | 泄露 | 有人用你的私钥签了这笔交易 |
币被划走，但交易的发起地址是别人，调用的是 transferFrom |
恶意授权 | 对方用的是你以前给出去的授权 |
| 在可疑网站签过授权或签名，资产还没动 | 先按恶意授权排查 | 同时回想有没有在那个网站输入过助记词 |
第四、第五行的区别要到区块浏览器里看：打开那笔转出交易，看 From 一栏是谁。拿不准属于哪种时，按泄露处理，多做的只是搬一次家。
助记词或私钥已泄露：按什么顺序处置
这条路的主线和 MetaMask 帮助中心 账户被盗后的处置说明 一致：换一台设备新建钱包，把剩余资产转过去，旧钱包从此停用。下面按先后顺序展开。
先盘点，不动钱
先弄清有多少东西要搬，只看数据。三件事：
1. 列出这组助记词控制的所有地址。同一组助记词可以派生出多个账户（MetaMask 里的 Account 1、Account 2……），硬件钱包不同派生路径下也各有地址。清单记在本机或纸上，不要放进云同步的备忘录。
2. 逐个地址、逐条链查余额。EVM 链用各自的区块浏览器（Etherscan、BscScan、Arbiscan 等），Solana 用 Solscan，比特币用 mempool.space，波场用 Tronscan。用过的链都要查，只看了以太坊主网、漏了 Arbitrum 这类二层网络，是容易犯的疏漏。
3. 按价值和转移难度排个先后。后面就照这张清单动。
盘点花不了多少时间，却决定后面会不会漏：别的账户、别的链上的资产，都在同一组助记词下面。
在干净设备上新建钱包
新钱包要满足三条：
- 全新生成的助记词。不沿用旧助记词，也不在旧助记词下面新开账户。MetaMask 的说明是停用旧钱包以及这组助记词名下的所有账户；在旧助记词下面新开的账户，私钥同样出自这组已泄露的助记词。
- 在没出过问题的设备上生成。最稳妥的是一台全新的硬件钱包。没有的话，换一台与这次事件无关的手机或电脑，从官方渠道安装钱包再新建。
- 助记词只用纸笔记录。不拍照，不存进任何联网设备。着急的时候容易想先存备忘录、回头再删，不要这样做。
硬件钱包怎么选，见 硬件钱包对比表。
重启解决不了问题。如果设备上有键盘记录或剪贴板劫持，新助记词在屏幕上显示的那一刻就可能被读走。要换的是设备，换浏览器、换钱包 App 都不算。
来不及准备新钱包时，可以先把资产转到自己名下交易所账户的充币地址，当作临时落点。充币页上选的网络要和转出的那条链一致。前提是这个交易所账户的邮箱、密码和二次验证没有受这次事件波及。到账后先改密码、重置二次验证、检查 API 密钥和提币白名单，再准备新钱包。
按先后顺序把资产转走
新地址准备好后，按下表的顺序转。一笔转账就能转走的先动，要多步操作的往后排。
| 顺序 | 资产类型 | 怎么转 | 要签几笔 |
|---|---|---|---|
| 1 | 稳定币、主流币现货（ETH、SOL、BTC、BNB 等） | 直接转到新地址 | 每个币一笔 |
| 2 | 流动性质押凭证（如 stETH） | 它本身是代币，直接转走，不用先解除质押 | 每个币一笔 |
| 3 | 借贷协议里的存款 | 先取出，再转账 | 至少两笔 |
| 4 | 流动性头寸（LP 代币或 LP NFT） | 把凭证转到新地址，到新地址再撤出流动性 | 每个头寸一笔 |
| 5 | NFT | 逐个转到新地址 | 每个一笔 |
| 6 | 锁仓、归属（vesting）合约里的份额 | 看合约是否允许变更受益地址；不能改的，把合约地址和解锁时间记下来 | 视合约而定 |
| 最后 | 退出要走很多步的复杂仓位 | 估一下退出要花的时间和费用，不划算的放到最后或放弃 | — |
旧地址被清扫脚本盯上时，gas 怎么办
助记词泄露后，对方可能在你的地址上挂一个清扫脚本（sweeper bot）：这个地址一有币进来，立刻被转走，包括你补进去准备当 gas 的那一点。MetaMask 帮助中心在 What to do if you have a sweeper bot on your wallet 一页里写了几条：
- 不要再往这个地址充币，充进去的多半会跟着丢。
- 剩余资产有可能借助 Flashbots 的方式取回，由另一个账户替被盗账户付 gas。官方同时写明这需要相当的技术能力，那一页也只是一般性的指引。
- 另一条路是找 Flashbots 的白帽团队协助。按该页所写，门槛是 1,000 美元起，收取 5% 到 10% 的费用。
所以分两种情况。旧地址里原有的 gas 还在、没有被清扫的迹象，就用原有的 gas 按上表顺序直接转。补进去的 gas 一到账就消失，说明已经被清扫脚本盯上，这时不要反复补，按上面官方页面的路径评估剩余资产值不值得取。
资产转完之后，旧助记词下的所有地址停用，不再往里转任何东西。这条路上不用去撤旧地址的授权：对方有私钥，撤不撤结果都一样，止损靠的是把资产搬走。
只是给了恶意授权：撤销就够了
判断下来助记词没有泄露、只是授权出了问题，地址不用换，做四件事：
- 撤销可疑的授权。用 Revoke.cash 或区块浏览器的 Token Approval Checker，把认不出的、无限额度的授权撤掉。同一个地址在以太坊、Arbitrum、BNB Chain、Polygon 等链上的授权各记各的，用过的链都要查。具体步骤见 代币授权怎么查、怎么撤销。
- 签过可疑的 Permit 或 Permit2 签名。到 Revoke.cash 账户页的 Signatures 标签和授权列表里处理，同时把涉及的代币转到另一个地址。这类签名分没激活和已激活两个阶段，处置不同，那篇里有一节专门讲。
- 正常补 gas。撤销是链上交易，要付 gas。这种情况下私钥没有泄露，补进去的 gas 不会被人转走，缺多少补多少。
- 换一个工具复查。用 Revoke.cash 撤的，再到区块浏览器里看一遍，确认那几条授权已经不在。
排查过程中只要发现任何一条指向助记词泄露的迹象，就回到上一节，按泄露处理。
两种情况都要做：把入口堵上
资产安顿好之后，要弄清对方是从哪里进来的。入口不堵，新钱包、新授权还会再出事。四件事：
1. 检查设备。MetaMask 的建议是检查浏览器历史记录并给电脑做一次扫描；另外建议看一遍最近装过的应用和浏览器扩展，把系统和软件更新到最新。条件允许的话，把出事的设备重装系统更彻底。
2. 清理浏览器扩展。用不上的扩展全部卸掉，要留的从官方商店重新安装，装之前核对发布者。
3. 检查关联账户。
- 邮箱：改密码，重置二次验证，再看一眼有没有你没设过的邮件转发规则。
- 交易所：先用安全中心里的冻结账户或暂停提币功能把提币关掉（入口名称各家不同，以帮助中心为准），再重置二次验证，检查 API 密钥和提币白名单。
- 社交账号（X、Discord、Telegram）：把不认识的登录设备全部移除。
- 第三方登录：检查 Google、Apple 账号里已授权的应用。
4. 回想入口。最近有没有在哪个网站输入过助记词；有没有把助记词存进云盘、邮箱、聊天记录或截过屏；有没有装过来路不明的钱包 App、扩展、文档或破解软件；设备有没有借出、送修或丢失过。
币已经被转走了，还能做什么
链上转账不可撤销。MetaMask 在 账户被盗后的处置说明 里写得很明确：交易无法撤回，丢失的资金也无法由它恢复。能做的事有限，但值得做：
- 保留证据。交易哈希、对方地址、聊天记录、可疑网站的截屏、邮件原文（带完整邮件头）、账户登录日志。
- 报案。中国大陆拨打 110 或到派出所报案，也可以通过国家反诈中心 App 举报；香港联系警务处 反诈骗协调中心（ADCC）；台湾联系 165 反诈骗；美国向 FBI 的 IC3 提交。报案时带上面那些材料。
- 标记对方地址。可以在区块浏览器上举报该地址，也可以向 Chainabuse 提交举报。
被盗之后，可能会有自称链上分析师、黑客追回团队、官方安全组的人私信你，要你先付调查费或解锁保证金。主动找上门、要你先付钱的追回服务，一律按诈骗处理。公安机关办案不向报案人收费。
平时做好哪几件事，出事时损失小
- 主要资产和日常交互分开。常用来连 DApp 的地址和存放主要资产的地址，用两套不同的助记词。一套出事，另一套不受牵连。
- 大额放硬件钱包。热钱包里只留丢了也能接受的数额。
- 助记词不进任何联网的地方。云笔记、网盘、邮箱、聊天记录都不行。这些账户被人登录的那一刻，助记词就到了对方手里，而你可能要等到资产动了才发现。备份方式见 助记词怎么存。
- 定期清授权。不再用的 DApp 授权撤掉，无限额度的改小。