先查账，不要看到余额为零就重置
使用原先记录的公开地址和对应链浏览器，核对余额、转出哈希、时间、目标地址。界面为空也可能是网络没开启、选错账户或 passphrase 不同。Trezor 官方排查页列出了这些情况。没确认备份前不要重置唯一设备。
| 发现什么 | 主要风险 | 先做什么 |
|---|---|---|
| 设备不见了，暂未见异常转账 | 他人可能取得实体设备 | 找齐可信备份，准备在安全设备恢复并迁移 |
| 备份被拍照、发给别人或输入假网站 | 攻击者可能复制全部相关密钥 | 创建全新密钥，停止向旧地址收款 |
| 签过可疑授权，部分代币被转走 | 某合约可能仍有支出权限 | 核对授权和交易，区分权限泄露与密钥泄露 |
| 新充值的手续费币立即消失 | 可能存在自动扫币程序 | 停止反复充值，寻求可信的专业应急协助 |
情况一：只有硬件丢失
币不是存在设备外壳里，但实体保护也不能保证永远挡住攻击者。准备兼容备份格式的可信替代设备；若原钱包使用 passphrase 或多份恢复备份，还需要正确口令或足够份数。不要为了赶时间把词随意输入搜索结果里的“恢复钱包”。
恢复旧钱包不等于远程锁死丢失设备。另一台设备载入同一备份，只是取得相同密钥。若无法排除被人拿走，应在安全恢复后把剩余资产转往全新密钥的地址。若设备和可用备份都没有了，不能指望厂商用订单号重置私钥。
情况二：助记词或恢复备份可能泄露
Trezor 的新备份迁移指引要求把疑似泄露当作真实风险处理。目标必须是由另一台可信、无异常设备生成的新密钥钱包，而不是把旧词再导入一遍。
- 在干净环境建立新钱包并验证备份，取得所需网络的地址；不要先抹掉仍能控制旧资产的唯一设备。
- 记录旧钱包涉及的链、账户、代币、NFT、质押或解锁中的资产。只换一个账户，不能覆盖同一泄露备份派生出的其他账户。
- 若旧环境仍可信且无自动扫币迹象，核对完整目标地址后迁移可控制的剩余资产。保留处理后续转账所需费用，避免先把手续费币全转走；可核对MetaMask 的资产迁移清单。
- 撤换交易所提现白名单、付款方保存地址和收款链接；停止使用泄露备份下的地址收新款，继续检查其他链上的残余资产。
设备本身疑似遭篡改时，不要在它上面生成新备份或输入额外口令，先按供应链事件处置清单联系厂商。换 PIN、重装 App、升级固件或撤销授权，都不会让攻击者已复制的密钥失效。
情况三：只签过恶意授权
如果证据指向特定代币授权，且没有备份泄露迹象，可通过可信工具检查并撤销相应权限，再评估迁移。MetaMask 官方说明明确指出，断开网站连接不会取消链上授权。不同签名和合约的撤销方式也不同，不存在一次“断开”解决全部问题。
可参考授权撤销教程。只有某种代币损失并不能证明助记词没泄露；如果原因仍不明，不要继续用原钱包尝试高风险操作。
Gas 一充就没：不要和机器人反复竞速
若手续费币充值后立刻被转走，继续补 ETH、TRX 等可能只会增加损失。MetaMask 的被盗应急指引也提醒，疑有扫币脚本时不要再添加 Gas。复杂抢救需要按具体链、合约和资金状态评估，不是买一个“解冻套餐”就能解决。
证据留下，别把秘密交给“追回团队”
记录地址、交易哈希、链名称、时间与时区、涉事域名、订单和聊天截图；不要截图助记词。在有现实人身风险时先保证安全，再通过自己核实的厂商、交易平台及当地报案渠道提交证据。平台是否能限制后续资金，取决于具体情况，不能保证。
事后复盘可用钱包诈骗风险自查；重建钱包看首次设置与备份检查教程。不要支付所谓验证金、税费或手续费给承诺“百分百追回”的陌生人。
核对日期：2026 年 10 月 18 日。本文是一般应急教育，不替代对具体链上交易和设备的安全调查。