TP钱包的币被转走了：先把剩下的搬到新钱包，再查是哪里漏的

被盗后马上做的三步：新钱包、转走剩余、查权限和授权

先建新钱包，再搬剩下的币，旧地址上的权限和授权放到后面处理，就按这个顺序来。手里得先有一个干净的地址接住资产。反过来做的话，查权限、撤授权的那几分钟里，剩下的币还躺在对方够得着的地方。

1. 新建一个从没泄露过的钱包，在 TP钱包里选「创建钱包」、设好密码，让 App 生成一套全新的助记词。助记词只用纸笔抄，不截图、不录屏、不复制到剪贴板、不存进联网设备。旧助记词和旧私钥一律作废，哪怕只是「可能被人看过」，也不再导入。同一组助记词在多台设备上恢复出来的是同一个钱包，所以对方手里那一份照样有效。怀疑 App 本身来路不明？那新钱包也不能建在这个 App 里，先把 App 换掉。抄完想确认没抄错，可以在「添加钱包 → 导入钱包」里按提示把新助记词输一遍，提示「钱包已存在」，就说明抄对了。这个核对办法出自 TP 帮助中心。
2. 把旧地址里剩下的币转到新地址。先转 USDT 这类代币，TRX、ETH、BNB 这些主网币留到最后。原因在手续费。波场上转 USDT 消耗能量和带宽，不够就烧 TRX，TRX 先转空了，USDT 就卡在原地动不了。每次粘贴新地址，都和新钱包的收款地址逐位核对。
3. 查账户权限，再查授权。波场地址先用自查工具查旧地址的权限名单，看最高权限还在不在自己手里。授权在 TP钱包里点「更多工具 → 授权检测」，找到不认识的那条，点「取消授权（Revoke）」再签名，状态会变成「正在取消中」。取消授权本身是一笔链上交易，把额度改成 0，要付这条链的手续费，余额不受影响。小狐狸、imToken 的入口在哪，见别的钱包去哪撤授权。

转的时候要是报错或弹出警告，按提示原文对一下。

助记词泄露的，往旧地址补进去的 TRX 或 ETH，对方同样能转走。所以只补够这几笔要用的量，可以先用本站计算器算转一笔要烧的 TRX。以太坊、BNB 智能链上的代币也是这个道理，手续费用这条链的主网币付，ETH 或 BNB 不够，就先补一点再转。

对方签名也用不着你的钱包密码。imToken 帮助中心的原句是「盗币者无需获取你的钱包密码，即可转走你钱包内的代币」。

授权这一项有取舍。助记词或私钥已经泄露的，我建议别在旧地址上花手续费撤授权。对方拿着钥匙，直接签名转账就行，根本用不着授权，这笔手续费留着转剩下的币更值。撤授权真正有用的只有一种情况，确认是授权被盗、助记词没有外泄，而且你还打算继续用这个地址。

旧钱包先别急着从 App 里删，整理报警材料时，它的地址和交易记录还要用。等剩下的币搬完、记录也整理好，再决定删不删。删掉只是这部手机上不再显示，链上的地址和交易记录都还在，以后要查，拿地址去浏览器查就行。

权限里查出你不认识的地址，马上停手，这个地址弃用，什么都别再往里转，补进去付手续费的 TRX 也一样出不来。

已经转走的币能找回吗？链上撤不回，钱包方也冻结不了

确认上链的转出撤不回来。TP钱包和 imToken、小狐狸一样是自托管钱包，钱包方没有冻结地址的能力。还能争取的只剩两样，没被转走的币，和一份能交给警方的完整记录。

小狐狸帮助中心对被盗用户写的是「遗憾的是，交易无法撤销，丢失的资金也无法恢复」。imToken 讲得更具体，它「不像普通银行，无法对你或盗币者的钱包账户进行冻结」，你在钱包里看到的数字，只是 App 从区块链上拉下来的数据。TP 给的建议同样落在止损上，「请立即创建一个新的钱包，并尽快将所有资产转移到新钱包」。

为什么撤不回？自托管钱包的钥匙只在你手里，链上只认签名对不对，不认签名的是谁。对方用你的助记词签出来的转账，和你自己签的没有任何区别，也就没有一个能按「撤销」的地方。

钱包公司手里也没有这把钥匙。比如 TronLink 就不存储用户的助记词、私钥和密码，没有钥匙，自然没法替你拦住或拿回一笔转账。

被盗的币如果顺着转账记录进了某个交易所的充值地址，这条记录对报案有用，记下来交给警方。交易所会不会配合冻结、要走什么手续，钱包的帮助中心都没给出说法，这个可能性没法替你估。有人收钱说能「联系交易所帮你冻结」，按追回骗局对待。

怎么判断是哪种被盗：拿那笔转出的哈希去浏览器看

在钱包交易记录里点开被转走的那一笔，复制交易哈希，贴到这条链的区块浏览器里（波场用 Tronscan，以太坊用 Etherscan）。要看三样，这笔是谁发起的，之前有没有授权交易，有没有改权限的交易。不知道被转走那笔的哈希在哪，先翻这个。被盗方式不同，留下的痕迹也不同。

助记词或私钥泄露，要从助记词的去向查起。相册里的截图、网盘、聊天记录、手机备忘录、某个网页的输入框，或者念给自称客服的人听过，挨个回想一遍。TP、imToken、TronLink 三家的帮助中心都说助记词不能截图，imToken 还点名了网盘和聊天工具，TronLink 点名了社交软件、邮箱和手机备忘录。

还有一点容易漏。一个钱包下的所有账户地址共用 1 套助记词，以太坊、波场、比特币地址是一起暴露的。没被动过的那条链，也得一起搬。

授权被盗是另一回事。授权（approve）是你允许某个合约从你的地址里转走某种代币，最多到你批准的数量，额度可以是无限。按 ethereum.org 撤销指南的说法，合约授权没有过期时间，断开钱包连接也不等于取消授权。放到浏览器上看，被盗之前，你的地址给某个合约发过一笔授权，签的时间可能早就忘了；被盗那笔，发起交易的是别的地址，你的地址只是代币的转出方。比如 USDT 被转空、TRX 一个没少，往前翻又找得到一笔授权，基本就是这一种。

钱包里也能印证。在 TP钱包的「更多工具 → 授权检测」里打开旧地址，看它眼下还挂着哪些授权，被盗那种代币的授权对象如果是一个你想不起来的合约，原因多半就在这里。先只看，别急着取消。

要不要花手续费去撤，按助记词有没有泄露来定。

账户权限被改，只会出在波场地址上。判断特征有三个，余额照常显示，转账一签名就报错（imToken 里是类似「server：SIGERROR」的提示），浏览器上往前翻能找到一笔更新账户权限的交易，还从你的地址扣过一笔改权限的费用。三样对上，先别再往这个地址转任何币；权限落到了谁手里、怎么查、还剩什么能做，看权限被改后还能做什么。

装了假钱包 App 的，链上痕迹和助记词泄露分不出来，得从 App 的来路上找。当初的 TP钱包如果是从别人发来的链接、群里的安装包或网页广告装的，在这个 App 里创建或导入过的每一套助记词，都要当作已经交出去了。你输入的每个词，它都看得到。

重新安装走手机系统自带的应用商店，装之前看清开发者名称。imToken 帮助中心就是这样教用户核对的，在 App Store 里它的开发者写的是 IMTOKEN PTE.LTD.；TP 的帮助中心没给出它在应用商店里的开发者名称。

助记词泄露了、币还没被转走：照样整套搬家

按已经被盗处理。只要助记词或私钥被别人看到过，就建新钱包，把这套助记词下每条链的资产都转走。TP 帮助中心的原话是「一旦助记词或私钥泄露，即使资产暂时没有被盗，原钱包也不应继续作为安全钱包使用。」

钱暂时没动，不等于安全。对方哪天动手，你决定不了；搬家只花几笔手续费，两边没法比。当天就搬，先代币、后主网币，一条链一条链地转。

改钱包密码没用。钱包密码仅用于解锁当前设备上的钱包。对方在他自己的手机上用你的助记词导入，再设一个他自己的密码就行，你那台手机上的密码，他根本碰不到。

泄露的范围也要分清。imToken 帮助中心写明，私钥只能恢复对应的那一个账户地址。所以只泄露了某个地址的私钥，受影响的就是这一个地址；泄露的是助记词，这套助记词下的全部地址都要搬。这些情况都算泄露过。

• 截图或拍照存在手机相册里，相册还开着云同步
• 复制到剪贴板，或者存进备忘录、网盘、邮箱
• 发到聊天软件里，哪怕是发给自己
• 在网页、表单或聊天框里输入过
• 告诉过自称客服、技术支持的人
• 在来路不明的钱包 App 里创建或导入过

TP钱包客服能找到被盗的U吗？找不回，主动找你的都是骗子

TP钱包的客服找不回已经转走的币，也冻结不了任何地址。被盗以后真正要防的，是主动找上门的「客服」和「追回团队」。

TP 帮助中心让用户有疑问时通过钱包 App 里的在线客服咨询，入口在哪一屏，帮助中心没给出。它的原话很绝对，「任何在网络上主动私聊的都是骗子，请直接拉黑+举报」，「TokenPocket 官方人员不会向你索要助记词」。讲数据迁移的那页又重复了一遍，官方客服不会以任何理由索要这些信息；讲波场手续费的那页还专门注了一句，Telegram 里主动私信你的都是骗子。

别家钱包也是这个态度。小狐狸帮助中心说它没有电话号码，永远不会主动私信用户，电话、WhatsApp、Facebook、Telegram、X、短信、Instagram，一样都不拿来联系用户；imToken 没有任何官方的 Telegram 客服群，有问题在 App 里点「我」→「帮助与反馈」；TronLink 也从来不会主动私聊用户、让人输入私钥。小狐狸还专门回答过「会不会要求用户验证账户」，简短回答是绝对不会。

对方说得出你被盗的金额、时间，甚至那笔交易的哈希，也证明不了什么。区块浏览器是公开的，你的地址和每一笔转账谁都查得到，你在网上发过求助帖，对方顺着地址一查就全知道了。

真假客服分起来不难，看谁先开口。你自己打开 App、在 App 里找到的帮助入口，是官方渠道。先找上你的，不管是私信、群里有人加你，还是帖子底下留言说「可以帮你处理」，都按骗子对待。对方要助记词，要你转一笔「验证费」或「解冻费」，要你装一个新 App，三样里出现任何一样，就别再聊了。

被盗以后最容易找上门的，是这几种说法。

任何人、任何网页、任何别人让你装的 App 要你的助记词或私钥，答案都是不给，自称钱包员工、律师或办案人员的也一样。

已经付过钱的，先停下来。TronLink 帮助中心讲权限骗局时写的是「立即断联：停止与诈骗者的所有联系，不支付任何赎金或解锁费用。」付出去的那笔，把付款记录和聊天记录一起放进报警材料。不要为了把已经付出去的钱要回来，再付第二笔。

USDT被盗报警有用吗？报警前把这些记录备齐

止损做完就去报警，材料要落到每一笔具体的交易上。imToken 帮助中心给被盗用户列的第三步，是「前往你所在地的派出所、公安局报警立案」。链上的事只认哈希和地址，光说一句钱包被盗了，谁也没法查。

被转走的是 USDT 的，这份材料还多一个用处。USDT 由 Tether 公司发行，它的条款和执法请求说明写明，可以按执法机关附法律文件的请求冻结地址，被冻结的 USDT 转不进也转不出。冻结只是让那笔币停在原地，不等于退回给你。

截图前，先把助记词、私钥相关的页面全部关掉。交给任何人的材料里，都不需要这两样。

记录按时间排成一条线，从第一次点开那个链接、装那个 App 开始，到最后一笔被转走为止，谁拿到都能从头看下去。收款方地址往后又转出的几笔，在浏览器上顺着点下去，能看到币后来去了哪；转进交易所充值地址的那一笔，单独标出来。被动过的链不止一条时，每条链单独列。波场地址是 T 开头，交易哈希是 64 位、不带 0x；以太坊系的地址和哈希都以 0x 开头，查的浏览器也不一样，混在一张表里容易对错。

拿一笔 100 USDT 的被盗转账来说，一行写清楚「几月几日几点，旧地址 T…示例 转出 100 USDT 到 T…对方，网络 TRC20，交易哈希 ab12…示例」。一笔一行，比一堆截图好查得多。

以后怎么防：助记词、授权和签名弹窗

被盗的几条路各有一个对应的习惯，助记词只留在纸上，授权签前看清、隔段时间清理，App 只从系统应用商店装，大额和日常分开放。

TP 帮助中心的原话是「资产防盗的根本就是私钥、助记词或DApp权限的保护问题」。

助记词只抄在纸上，不拍照，不进网盘和聊天软件，抄完用 App 里验证助记词的步骤自查一遍，新助记词抄在哪、怎么放有细节。

授权签名之前，看清弹窗里写的是授权还是转账，额度是不是无限。授权不会自己过期，隔一段时间用 TP钱包的「授权检测」清一遍不认识的。网页上的「断开连接」只是不让网站看到你的地址，要收回转币的权限，得撤销授权，小狐狸帮助中心把这两件事分开讲过。

钱包 App 只从手机系统自带的应用商店装，别人发来的安装包、网页广告里的下载按钮一律不点。助记词要在 App 里输入，App 是真是假，决定了这套助记词是不是从第一天起就已经交出去了。

日常连网页、用 DApp 的钱包只放要花的那点钱，大额放在另一套从不连网页的助记词里。这样分，是因为授权和改权限都只能动到签过名的那个地址。签名的地址里钱少，出事也只丢这么多。

以后哪个签名弹窗里出现「更改权限」「更新账户权限」或「Account Permission」，直接关掉，不签。