如何判断你的加密货币钱包是否被黑客入侵：10 个警示信号
未经你授权的转账一旦得到确认，就是出现问题的最明确警示。但钱包可能在资金消失之前就已经不安全了。恢复助记词被盗、隐藏的支出授权，或钱包控制权发生变化，都可能让攻击者获得访问权限，而你的余额看起来仍然正常。
下面有些警示信号意味着资产已经被盗，有些则表明钱包或设备可能面临风险。这一区别很重要，因为补救办法取决于攻击者是如何获得访问权限的。
如果资金此刻正在被转走，请停止向该钱包转入资金，直接查看文章末尾附近的应对步骤。
加密货币钱包被黑客入侵究竟意味着什么？
你的加密资产记录在区块链上。钱包通过私钥或其他授权规则帮助你控制这些资产。恢复助记词（也称为种子助记词）可以重新生成多个钱包账户的密钥。
人们用“被黑客入侵”来描述几种不同的问题：
- 密钥被盗： 有人拿到了你的私钥或恢复助记词，可以在另一台设备上授权交易。
- 授权被滥用： 你批准了某个合约或签署了某项请求，使他人能够转移特定资产。你的密钥可能仍未泄露。
- 设备或应用遭到入侵： 恶意软件、假钱包或恶意扩展程序窃取信息，或篡改你即将发送的内容。
- 交易所账户遭到入侵： 有人访问了由交易所替你托管加密资产的账户。
硬件钱包有助于保护私钥，却无法让危险的授权变得安全。如果你批准了错误的操作，硬件钱包仍可能正确地为它签名。
1. 真实的加密资产未经你授权就从钱包转出
你发现一笔无法解释的已完成转账、NFT 出售或提现。这可能发生在手机关机时，或你不在电脑旁时。
首先，排除你之前安排的操作，例如自动付款、交易所提现，或交易应用内的操作。然后在区块链上核查实际交易。
确认确实有真实资产被转移，而且你的余额减少了。仅凭钱包活动记录中出现一条奇怪的记录还不够。诈骗者可以伪造具有误导性的代币记录，让它看起来像是从你的地址发出了转账。
一旦确认真实资产未经授权被转走，应立即采取行动。无需等到整个钱包被清空。
2. 新转入的资金几乎立刻消失
你向钱包转入 ETH 或其他网络原生币以支付交易手续费。几秒钟内，这笔资金就被转到陌生地址。下一次充值又出现同样的情况。
这是 sweeper bot（自动扫款机器人） 的常见行为模式。这种程序会监控已暴露的钱包，并自动转走可用资金。在排除你自己设置的自动化操作之后，反复出现这种提现就是未经授权访问的强烈警示。
机器人可以运行在攻击者的电脑上。关闭钱包应用或重启手机都无法阻止它。有些机器人会放过小额余额，直到有较大金额转入才采取行动，因此资金暂时没有动静并不意味着钱包安全。
不要继续充值用于支付 gas 费的资金，也不要进行测试性充值。你可能只是在给攻击者送钱。
3. 你发现不认识的代币或 NFT 授权
许多加密应用会请求代币支出权限。即使你早已停止使用该应用，这些授权仍可能长期有效。
警示信号包括最近新增了你不认识的获授权支出方、访问可疑网站后授予了权限，或者支出额度远超相关操作所需。某项 NFT 授权可能让操作方转走你在特定系列中持有的全部 NFT。
合法应用也经常使用无限额度授权，因此它本身并不能证明钱包被入侵。关键在于谁拥有权限、他们可以转移什么资产，以及你是否有意授予这些权限。
检查所在网络、真正的代币合约、获授权支出方以及授权金额。断开网站与钱包的连接，并不会撤销已经记录在区块链上的授权。
4. 所谓的登录请求实际上授予了支出权限
你访问某个网站，准备登录、领取奖励或验证钱包。网站要求你进行一次无需交易手续费的签名。请求中却包含你无意批准的代币金额、获授权支出方或 NFT 出售订单。
有些签名无需你另外发起授权交易，就能赋予他人支出权限。Permit 和 Permit2 功能以及交易市场的订单签名就是相关例子。正规应用会使用这些功能，但诈骗者也会把它们伪装成无害的登录步骤。
没有 gas 费并不能说明签名是否安全。
还有一个容易忽视的问题：尚未使用的已签名授权，在有人提交之前可能不会出现在区块链上。因此，你平常查看的交易列表，有时甚至是授权检查工具，都可能显示没有异常，但该授权依然有效。
如果你签署了可疑请求，请停止与该网站交互，并调查签名究竟授权了什么。取消方式取决于授权类型。撤销普通授权并不能让所有尚未使用的签名失效。
5. 钱包出现新所有者或陌生的控制权限
有些钱包拥有多个所有者、恢复联系人、临时签名密钥，或能够执行操作的软件模块。这类钱包通常被称为智能钱包或智能账户。
如果出现你从未添加的所有者、所需签名数量减少、陌生的恢复方式或新模块，都需要立即关注。根据具体权限，这些变化可能让他人绕过你惯用的批准流程转移资金。
在以太坊（Ethereum）及兼容网络上，名为 EIP-7702 的功能还允许普通钱包授权代码通过其地址执行操作。恶意授权可能在不泄露恢复助记词的情况下，形成持续的访问权限。
有一个细节很容易被忽略：使用该功能时，即使交易执行失败，已被接受的委托仍可能保留。“失败”标签并不总意味着钱包控制设置完全没有改变。
使用钱包官方提供的工具检查这些权限。仅撤销代币授权无法移除陌生的钱包所有者或委托。
6. 你的恢复助记词或私钥已经泄露
你在网站上输入了助记词，把它发送给自称客服的人，或将其导入了后来发现是假冒的钱包应用。你也可能发现，包含明文密钥的备份曾通过遭到入侵的云账户或共享文件被他人访问。
即使资产尚未被转移，也应将该秘密信息控制的账户视为已遭入侵。其他人可以在别处重新创建钱包，而不会触发你应用中的登录提醒。
修改钱包应用密码不会改变已经泄露的私钥。在同一组恢复助记词下创建另一个账户，也无法解决问题。
影响范围很重要。泄露的恢复助记词可能暴露多个账户；单独导入的某个私钥泄露，则可能仅影响由它控制的账户。
7. 你的钱包应用或扩展程序似乎被替换了
你发现从未安装过的扩展程序、假冒的钱包安装包，或提示某款软件会窃取钱包数据的安全警报。你熟悉的钱包也可能在发生无法解释的变化后，突然要求你恢复钱包。
恢复提示也可能有普通原因，例如重新安装应用或应用数据被清除。它本身并非资产被盗的证据，但足以提醒你在输入秘密信息前核实软件。
通过钱包服务商的官方网站验证应用，并检查扩展程序的真实身份。熟悉的名称和标志很容易被仿冒。
如果你已经在可疑软件中输入恢复助记词，就应将其视为已泄露。卸载应用不会删除攻击者已经获取的副本。
8. 粘贴后收款地址发生变化
你复制收款人的地址，粘贴到钱包后，却出现了另一个地址。剪贴板恶意软件可以把加密货币地址替换成攻击者控制的地址。
这说明设备或软件可能存在问题。不一定意味着有人拿到了你的私钥，但该设备已不适合安全地进行转账。
攻击者可以使用外观与原地址相似的替换地址。只检查开头和结尾的几个字符可能无法发现调包。应将完整收款地址与可信副本逐字核对。使用硬件钱包时，在批准前检查设备屏幕上显示的地址。
如果地址不一致，请取消交易。反复复制粘贴，直到某次看起来正确，并不能解决问题。
9. 无法解释的损失蔓延至多个账户或网络
单个代币丢失可能源于某项特定的支出授权。但如果由同一组恢复助记词派生的多个账户都出现未经授权的转账，就需要警惕更广泛的密钥泄露。
例如，两个网络出现损失，同时同一组助记词下的另一个账户也出现异常活动，就需要扩大调查范围。检查所有受影响的账户和网络，不要假设问题仅限于最先发现的那个代币。
这种模式有助于缩小原因范围，却不能得出确定结论。多个恶意授权，或在多个网络上均有效的钱包授权，也可能造成大范围损失。
不同以太坊兼容网络使用相同的钱包地址是正常现象，本身并不是警示信号。真正需要警惕的是涉及这些账户的无法解释的活动。
10. 你的交易所账户出现陌生登录或提现
如果你把加密资产存放在交易所，应检查是否存在未知会话、被修改的账户恢复信息、新增的提现地址，或并非你发起的提现。未经请求而发生的双重身份验证设置变更尤其严重。
请主动打开官方应用或网站核实警报。吓人的电子邮件可能是钓鱼邮件。陌生的登录地点也可能由 VPN 或移动网络导致，因此要结合设备、时间和账户操作一起判断。
交易所账户被接管，需要采取账户安全应对措施。若服务商提供账户锁定或提现限制功能，请使用这些功能，联系官方客服，并保护你的电子邮箱和身份验证方式。
这些登录检查并不完全适用于由恢复助记词控制的普通钱包。拿到密钥的人可能根本不需要登录你的钱包应用。
看似异常但不能证明钱包被入侵的活动
以下几种常见情况可能令人担忧：
- 美元计价的余额下降： 币价可能下跌，但你持有的币数量并未变化。
- 应用中找不到代币： 你可能选错了账户或网络、隐藏了代币，或遇到了显示问题。
- 陌生的比特币（Bitcoin）输出： 一笔支付可能会把剩余资金退回到由你自己的钱包控制的新找零地址。
- 不请自来的代币或 NFT： 单凭垃圾代币并不能证明密钥被盗。将其隐藏即可，不要点击附带的链接，也不要为删除它而签署交易。
- 涉及相似地址的微额或零金额转账： 这可能是地址投毒，诈骗者通过在交易记录中植入貌似熟悉的收款地址，诱使你日后复制使用。
有些假代币会模仿真代币的名称和符号，甚至生成具有误导性的转出记录。在将某条记录视为盗窃证据前，先核实真正的代币合约和余额。
不要从最近的活动记录中复制收款地址。应从已验证的收款人或可信地址簿中获取地址。
如何核实究竟发生了什么
使用对应网络上信誉良好的区块链浏览器。你无需连接钱包、支付费用或透露恢复助记词，就能查看公开地址的信息。
检查以下细节：
- 账户和网络： 确认你正在查看的地址确实持有过丢失的资产。
- 交易状态： 区分待处理活动和已完成的资产转移。对于钱包委托，还要检查即使交易执行失败，权限是否仍发生了变化。
- 实际资产： 核实代币合约或 NFT 系列，不要只依赖名称或标志。
- 余额变化和去向： 确定转出了什么、转往哪里。除了主要交易列表，还要查看代币和 NFT 的转账记录。
- 此前的授权： 查找与损失有关的批准、签名或钱包控制权限变化。
当有人利用代币授权转走你的资产时，交易发送方可能是对方的账户。这并不意味着这笔转移无害。同样，代币记录将你的地址显示为来源，也不能证明是你本人签署了交易。
如果链上记录难以理解，可以向经过核实的钱包客服提供公开地址和交易哈希。这些信息有助于调查，而无需暴露你的密钥。
确认警示信号属实后该怎么办
停止充值和签署请求
暂停向受影响的钱包充值。拒绝新的签名请求，包括声称要“修复”“验证”或“解锁”钱包的提议。停止使用可能被感染的设备，改用另一台可信设备继续处理。
如果恢复助记词或私钥已经泄露
对于由已泄露秘密信息控制的普通钱包，请在可信设备上使用一组全新的恢复助记词创建新钱包。如果能安全操作，就把剩余资产转移出去，然后停用受影响的账户。更新任何指向这些账户的收款地址。
如果自动扫款机器人正在运行，不要向旧钱包充值 gas 费。挽救剩余资产可能需要专业的交易处理方法，且无法保证成功。
如果问题出在授权或已签名的许可
通过经过验证的工具撤销相关权限，并确认撤销交易已完成。某个网络上针对某种代币的授权，不会自动适用于其他所有网络和资产。
对于尚未使用的可疑签名，请遵循钱包或协议规定的专门取消流程。在确认该权限是否仍可使用期间，可能需要转移资产。
撤销授权无法追回已被拿走的资产，也无法让私钥泄露的钱包重新安全。
如果钱包控制设置发生变化
使用钱包官方的恢复或权限管理流程，移除未经授权的所有者、模块、签名密钥或委托。如果所有者密钥已泄露，而钱包支持更换签名者，请替换该签名者。再次认定账户安全之前，应获取针对该服务商的具体指导。
如果交易所账户遭到访问
通过服务商的官方流程锁定账户或限制提现。在可信设备上保护电子邮箱、更改受影响的密码、移除未知会话，并检查账户恢复信息和双重身份验证设置。
保存证据并报告损失
在保护剩余资金的同时，保存交易哈希、公开地址、时间戳、可疑 URL 和相关消息。向钱包或交易所，以及有关主管部门报告事件。
已经确认的区块链转账通常无法由钱包客服撤销。资产追回可能取决于交易所冻结资金、调查结果，或资金被主动退回。警惕任何保证一定能追回资产的人，尤其是要求你预付费用或提供恢复助记词的人。