錢包被盜先停止可疑互動，查正確網路的轉出紀錄，分清資產移動或顯示問題；再核對授權與秘密曝光，界定受影響帳戶，保留公開證據。助記詞已外洩、疑似自動搶轉資產或無法判讀簽名時，停止自行補款與簽署，從可信官方入口求助。MetaMask失守指引提醒，改密碼不會換掉外洩控制權。本文以假設事件示範，核對至2026年10月27日，不保證追回。
錢包突然少了一筆代幣，人很容易立刻找一個能讓事情恢復正常的動作：改密碼、撤銷授權，或再轉一點以太坊原生幣 ETH 進去付費。這類鏈上執行按 Gas 計費用量結算，所謂補 Gas 通常是補入支付網路費的原生幣。問題是，同一個動作在不同原因下，可能有用，也可能只是讓損失繼續。
先把已知的事排成順序。到底是餘額沒有顯示，還是真的有資產轉出？只有一份代幣額度被使用，還是助記詞也曾交給別人？本篇用同一個教學事件逐步加入線索，讓你看到每個新事實會怎樣改變應對範圍。
先確認資產是否真的被移動
介面餘額空白、收到陌生代幣與真實轉出，是三種不同線索。 先從自己已核對的入口查公開鏈上資料，避免一邊排查，一邊依陌生人的指示連接另一個網站。錢包與鏈上帳戶的關係，可先看本站的錢包與控制權。
餘額空白、陌生來款與真實轉出分開
如果只是換裝置後看不到代幣，先核對帳戶地址、網路與代幣合約，不能直接宣布被盜。相反地，若正確網路上已有非自己預期的成功轉出，就不能只靠重裝 App 或重新加入代幣來處理。
陌生來款也要獨立看待。MetaMask 官方〈Address poisoning scams〉說明，地址投毒會藉外觀相似的地址或交易紀錄誘導使用者抄錯收款對象；出現一筆陌生小額紀錄，本身不證明私鑰已外洩。不要因為好奇去開代幣附帶的網址，也不要從最近交易列表直接複製下一筆收款地址。先查紀錄方向、資產與自己實際做過的操作。區塊瀏覽器是查看公開鏈上紀錄的工具，普通查詢不需要交出金鑰。
把觀察結果與可能原因分欄
「查到一筆成功轉出」是觀察；「一定是助記詞外洩」則是需要更多線索的原因判斷。某筆代幣可能透過先前授予的支用權限被移走，也可能涉及私鑰、裝置、登入帳號或其他協定機制。單靠一個畫面通常不足以排除所有路徑。
先寫下能確認的公開資料，再列仍未知的部分。例如知道哪個代幣、哪條鏈、何時轉出，卻不清楚當時簽過什麼，就把簽名內容標為未知。這比急著替事件貼標籤更有用，也讓後續官方支援不必從頭猜。
錢包被盜怎麼辦，先按控制權分流
處理範圍取決於曝光的是某項權限，還是產生新交易的控制材料。 找到一筆可疑授權，可以縮小某次支出的可能路徑，卻不能自動證明金鑰仍安全；已知助記詞外洩時，也不能只停在撤銷那筆額度。
只發現可疑授權，仍要排查其他曝光
若目前只有特定代幣額度的線索，從可信入口核對網路、帳戶、代幣合約與被授權對象，評估能否安全撤銷相應權限。撤銷成功後仍要重新查狀態，並確認是否存在其他代幣、非同質化代幣（NFT）的操作權限或簽名型權限；斷開網站連接不等於它們全部取消。
這條分支也有前提：操作環境可信，且沒有已知控制材料外洩或搶轉線索。不能為了湊足撤銷費用，就直接向疑似失守帳戶補款。若不清楚一次要求會做什麼，先停止簽名，轉由已驗證的官方支援協助判讀公開資料。
助記詞或私鑰曾交出去，就擴大影響範圍
已把助記詞輸入陌生頁面，或私鑰副本可能被人取得，代表對方可能在另一環境重建相關控制權。更換本機密碼不會收回那份副本；在同一助記詞下新增帳戶，也沒有換掉失守來源。
MetaMask 官方〈I've been hacked/scammed〉及 Kraken Wallet〈My Kraken Wallet has been compromised〉均把新的安全控制來源列為重要處理方向。這不等於保證立刻能搬走所有資產：原帳戶是否有搶轉程式、資產能否轉移、操作環境與網路費，都會改變可行做法。
同一事件演練：新線索怎樣改變應對
以下只做紙上事件分析，不是真實報案、鏈上操作或資產救援紀錄。 沿用系列的帳戶來源：A1、A2 由助記詞甲建立，本例沒有額外密語；B 來自另一把獨立私鑰，C 來自硬體備份乙。它們只是代號，不附可使用的地址、金鑰或交易雜湊。
第一步：停止新操作，保留原始公開紀錄
情境從 A1 的代幣 T 少了 30 單位開始。先停止與可疑網站互動，不再依其要求補簽、驗證或付款。若原裝置也疑似受感染，就不在上面輸入恢復資料；改用可信乾淨環境查看公開資料，保留原始紀錄供排查。
這一步不是要求立刻刪除整個錢包。應保留可用的公開帳戶資料、交易識別與事件線索；如果尚未核對獨立備份，也不要為了「重置安全」先把唯一仍可使用的本機資料清掉。疑似裝置則停止用於敏感操作，是否重設與如何保全資料，要與資產控制問題分開處理。
先核對正確網路、A1、T 合約，確認確有一筆成功轉出 30 的紀錄。把它記為事件 E1；E1 是教學標籤，並非真實交易識別碼 TxID。此刻的已知結論只有「A1 的 T 確有非預期轉出」，尚不知道其他帳戶是否受影響，也不補寫無法確認的簽名內容。
第二步：查到授權支用，也不替私鑰安全背書
繼續查看 E1 的公開呼叫與代幣轉移資訊，情境設定顯示對象 S 使用代為支用代幣的 transferFrom 方法，從 A1 支出 30 單位 T 給 R；先前對 S 的額度為 100。在本例會扣減有限額度、且沒有其他變動的假設下，餘額減少 30，剩餘額度為 100 − 30＝70。
這能說明一條與既有權限相符的支出路徑，卻不能單獨推出「只有授權出問題」。實際排查要把合約呼叫、代幣合約與轉移紀錄一起看，不只看區塊瀏覽器顯示的一個動作名稱；也不能因為找到 S，就停止詢問助記詞是否曾曝光。
如果後續只確認這一組權限有問題，且環境與費用條件允許，可以評估撤銷相應額度，再核對成功結果。這仍不追回已轉出的 30。Approve與簽名差別，會把額度與未提交簽名分開說明。
第三步：確認輸入過助記詞，重新劃定影響帳戶
接著加入新事實：使用者回想起，曾把助記詞甲輸入一個陌生「恢復驗證」頁面。這個線索改變了處理範圍。A1 與 A2 共享甲，在本篇沒有額外密語的設定下，不能只撤銷 A1 的 S 額度，就讓 A2 繼續當保管帳戶。
B 與 C 的控制來源不同，所以「甲外洩」不會自動等於它們的獨立材料也被取得。但這同樣不能替 B、C 宣告安全：如果它們曾在同一受感染環境輸入秘密或簽過可疑內容，仍須另外排查。按來源劃定範圍，是為了不漏掉共用秘密的帳戶，也不把未經證明的曝光寫成事實。
這時錢包密碼與恢復的區分就很實際。改 App 密碼只改本機存取條件，不能替換甲導出的控制材料；把甲匯入另一支手機，也只是恢復同一來源，沒有建立新的獨立控制權。
第四步：發現搶轉跡象，停止往舊帳戶補款
最後加入另一條線索：A1 先前收到一筆補費用的原生幣，隨即出現非預期轉出。這使會監控入金並自動迅速轉走資產的搶轉程式，成為需要認真評估的可能性；仍要核對公開交易，不能僅憑時間接近就宣稱已查明所有程式行為。
MetaMask 官方〈What to do if you have a sweeper bot on your wallet〉明確提醒，不要繼續把 ETH 存入疑似有搶轉程式的帳戶。本例因此停止一般補 Gas 的做法，也不示範手動比誰轉得快。再放進去的費用可能先被移走，而需要付費的代幣仍留在原處。
到這一步，教學事件的結論是：A1、A2 按甲曝光評估；B、C 另查；疑似搶轉使一般補款路徑停止。沒有執行資產救援，也沒有「已成功轉往新錢包」的結果可填。能正確停在資料與能力邊界，比用一句「全部轉走就好」掩蓋限制更有用。
要保護剩餘資產，先建立可信的新控制權
新控制權需要獨立可信的來源，不能只是舊錢包換名稱、換裝置或加一個帳戶。 這是機制上的區分；真正能否轉移、用什麼順序，仍需按資產與攻擊狀態判斷。
用安全環境與獨立材料，別重用失守來源
在可信安全環境，依所用產品的官方流程建立新的獨立控制來源，並核對備份與接收資料。不要把舊助記詞甲當成新錢包的材料，也不要把新秘密交給協助排查的人。如果連社群登入或雲端帳號都疑似失守，也要一併處理，不能只換一個錢包介面繼續使用相同受影響登入。
新備份建立後，仍要確認其範圍與可恢復性，不能因為事件緊急就把未檢查的備份記成完成。若環境無法確認安全，先避免新增秘密曝光；已受影響帳戶與準備接收的帳戶，應保持清楚的公開地址對照。
評估資產限制與交易順序，不照抄一鍵搬家
原生幣、代幣、NFT、鎖倉或借貸部位的轉移條件不同，可能涉及可用費用、解鎖時間、清算風險或多步操作。一般轉移需要的順序，與搶轉情境可能衝突；不宜用固定的「先轉哪一種、再轉哪一種」涵蓋所有事件。
若需要專業協助，先從已核對的官方支援取得適用方向，理解服務範圍與限制，不把對方的名稱當成保證。自託管帳戶的已執行交易，沒有通用的客服撤回按鈕；即使另有代幣發行方或平台機制，也不能據此承諾自己一定能凍結或追回資產。
求助時交什麼資料，才不會再交出秘密
求助需要足以定位事件的公開資料，不需要把助記詞或私鑰交給對方。 能否追回取決於實際情況，保存紀錄的作用是支援判讀與調查，不是保證結果。
用公開事件資料聯絡官方與執法機關
整理網路、受影響公開地址、交易雜湊、代幣合約、金額、時間與前後操作。把「看到的結果」「自己做過的事」「仍不確定的部分」分開；簽名記錄若沒有留存，就寫沒有，不猜補內容。公開地址雖不是控制秘密，仍應透過適當管道提供，避免無必要地公開個人關聯。
從自己核對的官方網站進入客服，涉及詐騙時向所在地警方或適當執法管道提供紀錄。若事件牽涉平台收款或錯網路，也要交代接收平台與操作類型，不能把鏈上完成直接當作平台已入帳。加密貨幣轉帳排查，可補足這層排查。
拒絕保證找回與預付解鎖費的私訊
主動私訊、要求先付「解凍費」或輸入恢復材料的救援者，不因貼了成功截圖就可信。拒絕保證追回的話術，也不向陌生地址先付驗證款。真正的公開交易排查，不需要把新舊錢包的秘密交給對方代看。
分享畫面前先檢查是否含助記詞、私鑰、恢復碼或敏感匯出資料；不要為了完整交代事件，又新增一份可被拿來控制資產的副本。若已把秘密交出，應把這件事納入曝光範圍，而不是只刪掉對話紀錄。
事件處理後，回頭補哪幾個缺口
後續改善應對準事件中的失誤，不能把重新登入當成安全結案。 本例需要補的是：不在網站輸入恢復材料、按來源區分帳戶、讀懂支用權限，以及記住疑似搶轉時停止補款。若原先只是抄錯地址，改善重點則不同。
保留一份不含秘密的事件時間線，記下哪些權限已處理、哪些帳戶已查、哪些仍待確認。新錢包、備份與裝置是否可用，也各自核對。只有實際做過且能確認的部分才記完成，才能避免日後又把尚未處理的來源拿來保管資產。
本文為安全教育與假設事件分析，未執行真實轉帳、撤銷、救援或報案，不構成個別資產處置或法律建議。疑似失守時應依實際資料尋求可信官方與專業協助，任何流程都不能保證追回損失。