加密货币被盗：一份逐步行动计划

核心要点

• 如果你的加密货币不见了，接下来的几个小时比你做的任何其他事情都更重要。资金转移很快，而干预的窗口是以小时、而非以天来衡量的。
• 先记录盗窃交易的哈希值和攻击者的地址。没有这两样，任何调查都无从开始。
• 不要给任何承诺追回你资金的人转钱。追回骗局之所以盯上新近的受害者，正是因为他们走投无路。
• 像 USDT 和 USDC 这样的稳定币可以应执法部门的请求被冻结，这使它们成为极少数几种「快速行动能真正改变结果」的资产之一。
• 在许多情况下追回是可能的——尤其当盗窃被迅速上报，且资金在到达一个不配合的交易所或被完全兑换之前就被追踪到时。
• Match Systems 跨链追踪被盗资产，并与交易所和执法部门协作以支持追回，但流程必须趁线索尚有余温时启动。

本文内容

• 为何最初几个小时决定一切
• 第一个小时：止血并留存证据
• 最初的 24—48 小时：封锁并保住你的选项
• 不该做什么
• 趁线索未冷时寻求帮助
• 调查人员如何接手
• 你真能把加密货币追回来吗？
• 常见问题

为何最初几个小时决定一切

在某人意识到自己的加密货币不见了之后，会有那么一刻，本能会驱使他去做一些即时而情绪化的事：刷新钱包、换一个密码试试、去某个 Telegram 群里发帖求助。这些本能几乎没有一个指向正确的方向，其中一些还会让情况变得更糟。

接下来是我们希望每一位受害者在联系我们之前就知道的那套步骤。它源自我们在一个又一个案件中看到的规律：追回资金的人几乎总是那些在最初几个小时里有条不紊地行动的人，而追不回的人，通常是那些等待、惊慌、或信错了人的人。

第一个小时：止血并留存证据

第一个小时决定了之后大部分事情的可能性。等到受害者联系我们时，资金往往已经流经了好几个钱包。响应开始得越早，还能采取行动的线索就越多。

• 停止与被攻破的钱包交互。如果你的助记词或私钥已经泄露，那个钱包就不再是你的了，无论里面还剩什么。发送一笔「救援」交易去转移剩余资金通常会失败，因为攻击者运行着自动化脚本，任何转入的 gas 一到账就会被席卷。如果同一个钱包里还有其他资产，只能从一台干净的设备上，把它们转到一个全新创建、其密钥从未接触过被攻破环境的钱包。
• 留存证据。打开一个区块链浏览器，找到那笔未经授权的交易。保存交易哈希、攻击者的收款地址、金额、代币和时间戳。这是每一次调查的起点，捕捉得越快，追踪就能越早开始。
• 如果可以，弄清盗窃是如何发生的。一个钓鱼签名、一条泄露的助记词、一次 SIM 卡劫持和一笔恶意授权，各自需要略有不同的后续处理。如果你在某个网站上签署过什么，记下那个网站。如果你的手机在被盗前失去了信号，就把它当作一次可能的 SIM 卡劫持，并立即联系运营商锁定账户。

最初的 24—48 小时：封锁并保住你的选项

在即时证据被固定之后，下一个优先事项是切断攻击者剩余的访问权限，并保住任何冻结的机会。

• 撤销活跃的代币授权。如果盗窃是通过一笔恶意授权或一个 Permit 签名发生的，攻击者可能持有一项长期有效的权限，用来抽干之后到账的代币。使用你钱包内置的授权管理功能，检查并取消对任何你不认识的地址的授权。
• 保护关联账户。更改你的邮箱和任何交易所账户的密码，并关闭基于短信的双重验证、改用身份验证器应用。许多加密盗窃始于一个被攻破的邮箱或一个被劫持的手机号码，放任它们敞开，等于招来第二波。
• 向任何涉及的交易所标记该盗窃。如果资金源自某个中心化交易所或曾流经它，请通知该交易所的支持和合规渠道。如果被追踪的资金之后到达某个交易所，一份事先的报告可以加快冻结。
• 留意是否涉及稳定币。如果被盗资产包含 USDT 或 USDC，情况就具备了真正的快速行动优势。Tether 和 Circle 可以应执法部门的请求限制特定地址。2025 年 6 月，美国司法部认可了 Tether 在查扣约 2.25 亿美元 USDT（与一起杀猪盘行动相关）中的协助。正如加拿大皇家骑警（RCMP）的 Ryan Berry 警长在另一起 2025 年案件中所说，时机就是一切：调查人员越早开始追随这些交易，成功拦截的可能性就越高。一旦资金被兑换、脱离稳定币形态，这扇窗口就会关闭，所以这正是需要立即据以行动的关键点。

不该做什么

一些最具破坏性的错误发生在盗窃之后，而非之中。

• 不要付钱给主动联系你的追回服务。在盗窃发生后的数小时或数天内，受害者常常会被一些承诺「保证追回、先付费用」的账户找上门。这些几乎总是后续骗局。原始攻击者经常出售受害者名单，于是第二拨人再次对同一个人下手。没有任何正规机构会保证追回，也没有任何正规机构会要求你向某个钱包转入加密货币来「解锁」你被盗的资金。
• 不要把业余追踪当作报案的替代品。盯着资金在区块浏览器上移动会让人感觉在做事，但它并不能触发冻结或法律程序。快速追踪的价值在于用它来做什么：向合规团队发出的一份法律通知、通过执法部门发起的一次协调冻结请求。
• 不要为了凑齐完美的信息而拖延报案。迅速上报的不完整信息，胜过迟迟才上报的完整信息。有了交易哈希和攻击者地址，就足以开始。

行动计划一览

趁线索未冷时寻求帮助

证据一旦被固定，受害者所能做的最有用的事，就是把案件交给能迅速据以行动的人。上报加密盗窃很少像走进一间警察局那样简单，而恰当的报案地点，完全取决于具体情况：被拿走的是哪些资产、资金流经了哪些链和服务、受害者身在何处，以及线索正指向何方。

此时正是联系专业调查机构的时机。Match Systems 越早看到交易哈希、攻击者地址和周边细节，我们就能越早分析案件、确定最有效的应对：应当在哪里报案、要接触哪些当局和交易所合规团队，以及如何在资金仍可触及时把握冻结请求的时机。调查人员与交易所合规团队之间的直接关系，往往比独自摸索官方渠道推进得更快，而从一开始就把这套顺序走对，正是保住那些要紧选项的关键。

受害者的任务是迅速行动、留存证据。围绕案件的具体情况构建报案和追回策略，则是我们的任务。

调查人员如何接手

调查一旦启动，工作便从受害者转到调查人员手上，但了解正在发生什么会有帮助。

线索从盗窃交易开始。调查人员向外绘制资金流经每一个中间钱包的走向，跨链追随各种兑换、拆分和跨链桥。被盗资产通常会被立即拆分，并可能在数分钟内被兑换成另一种代币，但每一次移动都会被永久地记录在区块链上。

目标是一个交汇点。最具可操作性的时刻，是被盗资金接触到一个有 KYC 要求的中心化交易所之时。正是在那里，一份发给合规团队的法律通知可以标记账户并封锁提现，也正是在那里，化名的线索与一个真实身份连接了起来。一个历经多年调查积累而成的强大地址标记数据库，正是让调查人员能够迅速识别这些交汇点、并预判资金下一步走向的东西。

Match Systems 将链上追踪与已建立的交易所关系、以及与执法部门的直接协调结合起来。我们已在包括 Atomic Wallet、CoinsPaid 等在内的案件中追回了数千万被盗资产，并维护着一个专有的标记数据库，既用于活跃调查，也用于实时合规筛查。

你真能把加密货币追回来吗？

诚实的现实是：并非每个案件都能以追回收场，任何有信誉的机构都不会做出相反的承诺。但最要紧的那个变量，几乎总是同一个：响应开始得有多快。在数小时内、资金仍处于可追踪或可冻结形态时上报，会给调查人员留下很多可以着手之处。数周后、在资金经多条链兑换和洗白之后才上报，留给他们的就少得多。

受害者所能做的最有用的一件事，就是把第一天当作它本应享有的头等大事来对待。

常见问题

加密货币被盗后，最最首先该做的是什么？

从一个区块链浏览器上记录盗窃交易的哈希值和攻击者的收款地址，然后停止与被攻破的钱包交互。这两条信息是每一次调查的起点，迅速捕捉它们能让追踪在资金分散之前就开始。

我应该把剩余资金转出被黑的钱包吗？

只能从一台干净的设备上，且只能转到一个密钥从未暴露过的全新钱包。如果你的助记词已被攻破，攻击者往往运行着自动化脚本，任何转入的 gas 都会被瞬间席卷，因此一笔救援交易可能失败，反而把 gas 白白送给他们。拿不准时，先固定证据，并咨询专业人士。

有人发消息说可以帮我追回资金。这靠谱吗？

几乎可以肯定不靠谱。追回骗局专门盯上新近的盗窃受害者，常常使用原始攻击者出售的名单，并索要预付费用或向某个钱包的一笔押金。没有任何正规机构会保证追回，也不会要求你转入加密货币来「解锁」你被盗的资金。

被盗资金是不是稳定币，这重要吗？

非常重要。Tether 和 Circle 可以应执法部门的请求限制特定的 USDT 和 USDC 地址，这意味着稳定币盗窃拥有一条其他资产所没有的真实干预路径。症结在于时机：一旦资金被兑换、脱离稳定币形态，这个选项就会关闭。如果涉及稳定币，在最初几个小时内行动尤为重要。

在追回变得渺茫之前，我还有多少时间？

没有固定的期限，但成功的几率每过一小时都在下降。资金可能在盗窃后数小时内就被跨链、兑换，或被导向一个 OTC 柜台。当天就上报、资产仍可追踪或可冻结的案件，胜算最大。拖延越久，线索就越是支离破碎。

在加密盗窃调查中，时间的重要性超出大多数受害者的想象。

一旦资金被跨链、混合，或通过 OTC 渠道提走，追回就会变得困难得多。Match Systems 与交易所、稳定币发行方和执法部门协作，追踪被盗资产并支持合法追回，所依托的是一个专有的地址标记数据库，以及历经多年活跃调查建立起来的直接合规关系。

开始你的案件评估：https://matchsystems.com