打开钱包，余额归零。或者更糟：转账记录里躺着几笔你没做过的交易，时间是你昨晚睡觉的时候。
先说一个很多人不愿意听的结论：已经转走的资产，靠你自己几乎拿不回来。链上没有客服，没有撤回键。但这不代表无事可做——接下来一小时做什么、报不报案、怎么识别马上要来的第二波收割，每一步都还影响结果。这篇文章讲的就是被清空之后的完整行动清单。
先搞清楚你签的是什么
清钱包不是偷密码，是骗签名。你以为是空投查询、铸造页面、协议升级，实际签下的东西分两类，处理方式完全不同：
| 你签的东西 | 攻击者拿到了什么 | 还有没有时间窗 |
|---|---|---|
| 转账类签名 | 当时那笔资产，当场转走 | 没有，已成事实 |
| 授权类签名 | 随时动用你资产的长期许可 | 有，撤销之前一直有效 |
如果你签的是转账，损失已经锁定，往下看报案和防二次收割的部分。如果你签的是授权——尤其是无限授权——攻击还没结束。授权是一张长期通行证，不光管钱包里现有的资产，你以后存进去的每一笔，都在它的覆盖范围内。这是理解后面所有动作的关键，机制细节可以看签名骗局拆解和无限授权。
钱去哪了：决定报案有没有用
被盗资产的去向不是猎奇，它直接决定报案的价值。
Chainalysis 对清钱包盗款的长期追踪显示：盗得资产先由盗币方归集，再经转换服务洗出。趋势上，2021 年以来流向混币服务的比例上升，直接存入中心化交易所的比例下降；2022 到 2023 年，大部分赃款走的是 DeFi 路径——兑换、跨链桥、去中心化交易所——这些地方没有合规团队替你冻结任何东西。完整分析见 Chainalysis 的 drainer 报告。
规模上，Scam Sniffer 的 2025 年度钓鱼报告测得清钱包盗损同比降约 83%，从 2024 年的约 4.94 亿美元降到 2025 年的约 8400 万美元（Scam Sniffer 2025 报告）。
两个直接推论：
一是速度压倒一切。唯一可能拦截赃款的窗口，是它还停在可识别钱包里的那段时间——进混币器之前、长串兑换之前。每拖一小时，窗口就小一圈。
二是交易所仍然是可以卡的点。即便有混币趋势，大部分赃款最终要碰法币出口，冻结就发生在那里——前提是有一份带交易哈希的报案记录可以执行。
还能做的三件事
第一件：撤销还挂着的授权。换干净设备（不是被钓的那个浏览器），打开 revoke.cash 或 Etherscan 的 token approval checker，连上被盗钱包，把授予陌生地址的额度撤掉，优先撤标着 unlimited 的。撤销要付 gas，这是正常成本。如果钱包里连 gas 都没了，先别急着从别的资产往里转——正确顺序是先把剩余资产转移到全新钱包，再回头处理撤销。
为什么急：一条活着的授权让你的地址变成陷阱。以后任何人往这个地址打钱——退款、朋友还款、空投——都会被攻击者的机器人用那份既有额度扫走。
第二件：把剩余资产转移到全新钱包。新助记词、干净设备生成。转移的优先级和 gas 排序，被盗 24 小时应急手册里有完整决策树。
第三件：当天报案。「链上不可逆」是真的，但不完整。资金要经过基础设施，基础设施有卡点：有合规团队的交易所、要 KYC 的法币出口。公开报道过的追回案例走的全是这条路——链上追踪加执法加交易所冻结，没有一例是靠钱包玄学。报案需要带的东西：盗币交易哈希、攻击者收款地址、时间戳、钓鱼网址。在美国走 FBI 的 IC3，国内走反诈渠道和属地经侦，细节见怎么报案全流程。要说实话：小额案件多数不会单独立案侦办，但报案记录会进模式库，模式库是打掉整个盗币团伙的东西。
第二刀：他们会主动找上门
这是没人提前告诉你的部分，也是二次损失的主要来源。
被盗之后，你变成一条经过验证的、正在焦虑中的精准线索。CFTC 的公告《Don’t be Re-Victimized by Recovery Frauds》对此说得很直白：追回类骗局是预付费诈骗的一种，专门收割已经被骗过一次的人。公告引用的研究结论是，多数诈骗受害者会再次受害，老受害者比没被骗过的人更容易成为目标。受害者名单在黑产里是流通商品，你的损失让你更值钱，不是更安全。
中文圈的典型话术长这样：TG 私信自称「链上技术团队」或「追回工作室」，头像是西装证件照，说可以「通过节点回滚/黑客手段追回」，先收几百到几千不等的工费或 gas 费，或者要你把钱包控制权交出去「代操作」。每个字都是套路。CFTC 还记录过更高级的玩法：骗子通过廉价新闻分发服务，把伪装成「追回专家」的软文发到一堆小新闻网站上，配假好评假评级，甚至引用真实监管公告给自己背书。
识别表：
| 信号 | 实际含义 |
|---|---|
| 对方主动找上门，时间在你被盗后不久 | 在跑受害者名单 |
| 要预付工费、gas 费、定金 | 预付费诈骗的定义 |
| 要助记词或钱包控制权 | 第二次盗窃正在发生 |
| 证明材料是钱包截图 | 几分钟就能伪造 |
| 承诺几天内追回 | 链上现实不存在这种速度 |
| 制造紧迫感，催你快决定 | 卖的就是你的恐慌 |
为什么这个地址废了
两个互相独立的理由，都指向同一个结论：换地址。
机制上，你签过的授权在撤销之前一直活着。挂着的授权是一个漏斗，不是钱包。
记录上，你的地址已经进了攻击者的名单，标记为「会签字」。链上历史是公开且永久的——粉尘攻击和地址仿冒能长期运转，靠的就是攻击者可以低成本监控老地址。没人会跟一张知道自己会漏的漏斗博弈，直接换新的是最便宜的解。
重新开始的钱包卫生
新钱包三层用法，成本几乎为零：
日常签名用一个专门的临时钱包，里面不放你在乎的资产，签错也无所谓。长期存储用硬件钱包，私钥不触网，签名物理确认——我们拆过的每一起清钱包案例，根因都一样：大额资产天天躺在热钱包里签字。助记词的生成和保管规范见助记词词条。
一句话总结：签名权限跟着资产价值走，值多少钱的东西，配多贵的签名门槛。
行动清单
- 干净设备 → revoke.cash 或 Etherscan 撤销授权
- 剩余资产转移到全新助记词的新钱包
- 固定证据：交易哈希、盗币地址、钓鱼网址、时间戳
- 当天报案（IC3 / 反诈 / 属地经侦）
- 赃款若触及可识别的交易所充值地址，同步发冻结请求
- 一切主动上门的「追回服务」默认按敌对处理
- 以后：临时钱包做实验，硬件钱包做存储
- 在钓鱼链接流传的社群里发预警——你不会是最后一个目标
延伸阅读
- 被盗 24 小时应急手册：分诊、保全、冻结请求全流程
- 怎么报案全流程：表单逐字段填法
- 怎么识别清钱包攻击：签字之前的防御
- 追踪被盗资产：自己能做的链上追踪
- 空投安全清单：最常见的钓鱼入口是假空投
常见问题
钱包被盗了，钱还能追回来吗？
绝大多数情况下不能，链上转账不可逆。现实中的追回路径只有一条：链上追踪加执法介入加交易所冻结，而且只在赃款还停在可识别的钱包里时有效。所以报案速度直接决定有没有拦截窗口。任何私聊你、保证几天内追回的，都是盯上受害者的二次诈骗。
怎么撤销恶意授权？
用专门的授权检查工具，比如 revoke.cash 或 Etherscan 的 token approval checker，连上被盗的钱包，找到授予陌生地址的额度并撤销，撤销交易要付一点 gas 费。注意一定要换干净的设备操作——如果钓鱼来自恶意浏览器插件，在同一台机器上撤销，等于把下一个签名也交给攻击者。
被盗后有人私信说能帮我追回，是真的吗？
不是。CFTC 把这类行为定性为预付费诈骗：先收工费或 gas 费，承诺之后追回更大金额。CFTC 的公告引用研究指出，多数诈骗受害者会再次受害，被盗后你恰恰是更精准的目标。识别方法很简单：对方主动找上门、要预付费、要你的助记词或钱包控制权，任何一条命中就是骗局。
被清过的钱包还能继续用吗？
不能。如果你签过授权，只要没撤销，这条授权对以后存入的任何新资产同样有效——这就是代币授权的机制，存进去就会被同一份额度扫走。而且这个地址已经在攻击者的名单里，标记为「会签字的钱包」。正确做法是换干净设备生成全新助记词的新钱包，把剩余资产转过去，旧地址当废处理。