发现资产异常转出后，最容易出现两个极端：什么都不做，等待所谓“客服”处理；或者立刻在原设备上连续签名、撤权、转账。前者可能继续扩大损失，后者可能继续暴露签名权限，甚至破坏设备和钱包状态证据。正确顺序取决于攻击机制。
先保存能够复查的现场
记录受损地址、交易哈希、币种、金额、时间和区块浏览器链接；保存钱包版本、已连接网站、最近安装的应用或插件、可疑域名、聊天记录和设备异常。不要提交助记词、私钥、密码或验证码。截图用于快速沟通，原始导出和可复制的哈希、地址用于核验。
四种常见情况采用不同止损顺序
- 私钥或助记词疑似泄露：在干净设备上创建全新钱包，先转移尚未被控制的高价值资产；旧钱包不再继续存入资产。
- 恶意授权或 Permit 签名：保存授权记录后撤销相关 allowance，并检查同一钱包在其他链上的授权。仅“断开网站连接”并不等于撤销链上授权。
- 设备、插件或假钱包疑似被控制：停止在原设备签名，隔离网络并保留安装来源、文件和时间信息；在可信环境处置剩余资产。
- 主动误转或受骗转账：钱包控制权未必丢失。优先停止追加付款，核验真实损失交易并追踪接收方，不要被“解冻费”“保证金”诱导继续转账。
链上调查如何帮助判断
直接由用户地址签名转出的交易、由第三方合约调用 transferFrom 的交易、授权事件与资金转移时间关系，能够帮助区分控制权泄露和授权调用。但链上记录不能单独证明是谁操作了设备，也不能替代设备取证。
行动清单
- 停止与可疑入口继续交互；
- 保存原始证据和钱包状态；
- 根据攻击机制转移资产或撤销授权；
- 核验损失交易并建立资金路径；
- 更换相关密码并检查交易所账户安全；
- 整理材料，按所在地程序报案或咨询专业人士。
参考资料：ethereum.org 诈骗处置指南；MetaMask 授权撤销说明。资料核对日期：2026-08-03。