直接答案：发现加密资产被盗、被骗或异常转出后，先停止继续转账并隔离风险，再保存原始证据，最后整理交易哈希、地址、资产、金额和时间线。不要为了“追回”继续向陌生人支付解冻费、保证金或手续费。
第一阶段：立即止损
- 停止与可疑平台或人员互动。不要继续充值、补税、缴纳认证费或解冻费。FTC 将“先付费才能取回损失”列为典型二次追回骗局信号。
- 区分“断开连接”和“撤销授权”。仅断开 DApp 不等于撤销代币额度。MetaMask 官方说明，撤销授权会产生链上交易和 Gas 费用；应在确认网络与授权对象后操作。
- 评估是否迁移剩余资产。若私钥、助记词或设备可能泄露，应在干净设备上创建新钱包并转移未受影响资产。转移前先保存余额、授权、多签配置和异常交易快照，避免破坏证据上下文。
- 联系相关平台。若资金直接进入中心化交易所，及时向该平台的官方支持及当地执法机关提交交易哈希和地址。平台是否限制账户或保全资料，取决于证据、司法权限和平台规则，不能保证。
第二阶段：保存可核验事实
FBI/IC3 明确建议提供钱包地址、币种与金额、交易哈希、日期和时间，并补充接触渠道、网站、应用、电话或社交账号。以下材料应尽量保留原始版本：
- 受损钱包地址、交易哈希、区块浏览器链接、币种、金额、网络和时间；
- 聊天记录原始导出、邮件完整头部、平台账号、网址、应用安装包来源；
- 充值与提现凭证、银行卡或交易所流水、订单号及客服记录；
- 钱包余额、授权列表、多签权限、设备异常和安全告警截图；
- 按时间排序的事件自述，并标记哪些是本人记忆、哪些可由文件或链上记录支持。
事实、关联与推断
已核验事实：区块链记录能够证明某笔交易的发起地址、接收地址、资产、金额、时间和执行状态。
关联：地址标签、共同交易对手或时间金额交叉可形成调查线索，但不自动等于真实身份。
推断：“授权钓鱼”“私钥泄露”“假投资平台”等原因，需要结合授权事件、合约调用、设备和沟通证据判断。
未知：没有可靠证据时，应明确写明未知，而不是补全故事。
相关案例
可在案例库查看“免费挖矿授权陷阱”“陌生钱包导致多链资产转移”等脱敏案例，理解不同受损机制对应的止损顺序。
审核与数据范围
数据截止：2026-08-02。审核主体：Crypto Forensics Lab 编辑团队。审核范围：来源可追溯性、证据边界、操作安全性及中英文一致性。本页为调查准备信息，不构成法律意见、执法结论或追回保证。