如你的加密貨幣助記詞外洩了，就要假設其他人可能已能夠重建這個錢包。更改錢包應用程式密碼、刪除相片、清除剪貼簿或購買新的硬件裝置，都不能令舊短語重新成為秘密。應在可信環境中用新產生的復原資料建立一個全新錢包，然後把餘下資產和權限從已外洩的帳戶中移走。

關鍵要點

把短語被看到、複製、拍照、上載或輸入不可信系統，都視為外洩。

不要在新裝置上重用舊短語；那只會重建同一組已外洩的密鑰。

遷移之前，點算幣、代幣、NFT、質押持倉、授權、多簽角色和合約擁有權。

按攻擊者可能的存取能力、資產價值、轉帳所需時間、手續費和合約限制安排優先次序。

任何復原服務都不需要已外洩的短語來「保護」它，也沒有人能保證追回已被轉走的資產。

哪些情況屬於助記詞外洩？

外洩的範圍比把所有字詞公開發佈要廣。如有人看到了它、鏡頭拍下了它、它被輸入到陌生網站或應用程式、惡意程式可能已截取它、它進入了雲端筆記或相片備份，或者有客服人員要求你發送它，都應把該短語視為已外洩。

部分外洩也可能有影響。風險取決於外洩了多少個字詞、它們的次序、是否有額外的附加密碼，以及錢包的設計。不要以為缺了幾個字詞，被拍照或複製的短語就無害。應參考錢包服務商的保安指引，而不是試圖估算攻擊者需要多長時間。

外洩可能涉及多於一個帳戶。一個復原短語可以在多個網絡上衍生出許多地址。錢包介面只顯示一個帳戶，並不代表影響範圍僅限於此。

外洩後應立即做甚麼？

第 1 步：停止增加風險並保留非秘密證據

停止輸入或貼上該短語。中斷可疑的對話，不要安裝任何「清理」「驗證」或「復原」軟件。如外洩發生在可能已受感染的電腦或手機上，不要用那部裝置建立替代錢包。

保存不含秘密的證據：網址、發送者身份、訊息文字、應用程式名稱、時間、交易雜湊值和所要求的權限。不要在截圖、報告、電郵或客服個案中包含短語本身。如某張截圖已經包含它，不要把那張截圖作為證據上載。

透過可信的區塊瀏覽器或錢包檢視，檢查是否已出現未經授權的轉帳。從另一部裝置查看公開地址，通常比從已外洩的錢包簽署更安全。要記住，結餘為零並不代表每一個代幣、NFT、持倉或管理角色都已不在。

第 2 步：為替代錢包選擇可信環境

使用一部你控制、並且有理由信任的裝置。如外洩是惡意程式造成的，在再次用該系統處理秘密之前，應按合資格的指引清理或更換受影響的系統。單是更新某一個應用程式，並不足以證明一個受感染的環境是安全的。

經廠商的官方途徑取得錢包軟件或硬件。獨立核實域名、發佈者、裝置真確性和最新說明。不要點擊主動提出協助處理事件的人發來的連結。

根據你實際的復原能力，決定替代錢包使用硬件錢包、軟件錢包、多簽安排還是其他受支援的設計。現在不是在未經測試的情況下採用陌生複雜方案的時候。

第 3 步：建立真正的新錢包

按照替代錢包的官方流程建立新的復原資料。新助記詞必須獨立產生；把舊短語匯入新應用程式、重設裝置後再輸入舊字詞，或更改本機密碼，都會保留舊密鑰。

把新備份離線、私密地記錄下來。不要拍照、透過通用剪貼簿複製、儲存在一般雲端硬碟或發送給自己。嚴格按錢包說明確認字詞、分片、附加密碼或其他必需組件。

在可信裝置的顯示屏上核實一個收款地址。如錢包支援多個帳戶或網絡，發送資金前先確認正確的帳戶類型。為新舊地址加上清楚的標籤，以免緊急情況下把轉帳方向弄反。

錢包離線備份指南解釋了如何把秘密的復原資料與不含秘密的說明和紀錄分開保存。

如何向新錢包遷移資產與權限？

第 4 步：建立資產與權限清單

列出舊助記詞可能控制的一切。MetaMask 的帳戶遷移指南特別提到原生資產、代幣、NFT 以及其他可能需要另行處理的帳戶關係。［2］你的清單可能包括：

支付網絡手續費所需的原生幣；
各網絡上的同質化代幣；
NFT 和收藏品；
已質押或鎖定的持倉；
流動性提供或借貸持倉；
進行中的跨鏈橋或提款活動；
代幣授權和以簽署為基礎的權限；
多簽成員身份；
智能合約的擁有者、管理員、驗證者或復原角色；
藏在額外附加密碼或不同衍生路徑之後的帳戶。

記錄公開地址和交易識別碼，而不是復原字詞。檢查你實際使用過的每一個網絡。投資組合應用程式可以幫助發現項目，但重要的持倉應在相關協議或區塊瀏覽器上核實。

第 5 步：決定遷移次序

沒有通用的次序。要考慮攻擊者是否已經在行動、哪些資產可以即時轉移、哪些持倉需要解鎖或提款、舊帳戶是否有足夠的手續費資產，以及一筆公開交易會否暴露你的應對行動。

價值高、流動性好的資產可能值得及早轉移，但監察該地址的攻擊者可能會爭奪同一筆資金。向已外洩的帳戶補充手續費資產，可能會被自動掃款程式即時取走。在不了解特定鏈風險的情況下，不要反覆為它增值。

有些協議容許你更改擁有者或提款地址，而無需結束持倉。另一些則需要等待、解除質押、跨鏈或領取。按照從獨立核實的來源取得的協議官方流程操作。如涉及大額資產或攻擊者正在自動化行動，應尋求合資格的事故應變協助，而這種協助絕不會索取助記詞。

第 6 步：使用已核實目的地遷移資產

從可信錢包複製新的收款地址，並在裝置顯示屏上核實。比對開頭和結尾，可行時比對完整地址和網絡。剪貼簿惡意程式可能替換地址，因此沒有裝置確認時，不要相信貼上的數值。

在時間和手續費容許時先做一筆低價值測試，在目的地確認到帳後再轉移更多資產。一次測試並不能證明之後的每次貼上都安全；每筆交易都要核實。在簽署裝置上細閱金額、資產、目的地址、手續費、網絡和合約操作。

MetaMask 的事故指引建議在另一個瀏覽器、設定檔或裝置上建立新錢包並轉移餘下資金，然後停止使用已外洩的復原短語。［1］應把這看作一次保安遷移，而不是轉到一個之後還要匯入舊助記詞的臨時地址。

第 7 步：轉移角色、持倉與權限

轉走可見的代幣，可能仍會把控制權留在別處。在相關系統支援的情況下，更改多簽簽署人、合約擁有權、驗證者提款憑證、協議委託、域名或名稱服務控制者，以及復原角色。

檢查與舊地址相關的代幣授權和簽署權限。撤銷可以削減某個獲授權方的權限，但不能改變由助記詞衍生的私鑰。如外洩的是助記詞本身，撤銷只是補充措施；舊錢包仍然不是存放資產的可信之處。

Ethereum.org 指出，交易通常不可逆，並建議用戶把資產從已外洩的錢包中轉出、在適當時撤銷授權，並經相關途徑舉報詐騙。［3］具體工具和後果因網絡而異，因此在授權撤銷交易之前，要核實合約和獲授權方。

第 8 步：停用舊復原資料

清單完成後，把舊錢包和助記詞標記為已外洩。在不會破壞證據的前提下，把它從日常錢包檢視中移除，並且絕不再用它接收新資金。更新已儲存的提款地址、付款指示、挖礦或質押收益地址，以及可能向舊地址付款的聯絡人。

不要過早銷毀唯一的事故紀錄。公開地址和交易紀錄可能在稅務、法律、保險、交易所或執法報告中用到。把這些不含秘密的紀錄與新備份分開保存。

只告訴可信的付款方他們需要知道的內容：舊收款地址已停用，新地址必須經約定的途徑核實。切勿把新助記詞作為證明發送出去。

如何報告助記詞外洩事件並留存記錄？

第 9 步：報告事件，同時避免再次外洩

視乎情況向相關的錢包服務商、交易所、協議或執法途徑報告未經授權的活動。獨立找到每個機構的聯絡入口。區塊鏈轉帳可能不可逆，但及時報告可以幫助交易所標記存入或保存紀錄；這並不保證能追回資產。

提防隨之而來的追回騙局。公開發佈加密資產損失的帖子，會吸引冒充者以預付費用為條件，承諾追蹤、黑客入侵、解鎖或保證追回。追回騙局指南解釋了為何私下聯絡的「代理人」和秘密付款要求是警號。

如短語曾進入剪貼簿或未知應用程式，請查閱剪貼簿劫持指南，並另行調查該裝置。清理裝置和遷移錢包，解決的是事件的不同部分。

常見問題

可以更改助記詞密碼嗎？

任何本機應用程式密碼都不會改變由舊短語衍生的加密密鑰。應建立新的復原資料，並把控制權轉移到新錢包。

如果只外洩一個詞呢？

不要猜測餘下的安全程度。短語長度、字詞位置、額外的附加密碼以及攻擊者掌握的資料都有影響。依循服務商的事故指引；如備份已不能再被視為私密，就進行遷移。

刪除相片或雲端筆記就足夠嗎？

不足夠。副本可能仍留在備份、回收筒、同步紀錄、快取、通知或他人手中。刪除能減少進一步暴露，但無法證明秘密從未被複製。

NFT 和代幣要分開遷移嗎？

它們可能需要不同的交易、網絡、手續費或協議操作。把每一項資產和角色都列入清單，並逐一核實目的地。

撤銷授權能令舊助記詞重新安全嗎？

不能。撤銷只限制指定的合約權限，無法阻止持有由助記詞衍生的私鑰的人簽署新交易。

應向主動聯絡的追回專家付款嗎？

不要相信主動提供的協助、保證追回、預付費用或索取助記詞的要求。獨立核實任何專業人士，並界定一個絕不轉移秘密控制權的服務範圍。

VPN 能保護已外洩助記詞嗎？

不能。傳輸加密無法刪除已被複製的秘密、輪換錢包密鑰、撤銷交易或清除攻擊者的本機副本。

免責聲明：本文只提供一般安全資訊，不構成財務、投資、法律、稅務、鑑證或個別錢包建議。交易與遷移可能不可逆；高價值或仍在進行的事件應尋求合資格協助。

來源

［1］MetaMask Help Center, I've been hacked or scammed: https://support.metamask.io/stay-safe/protect-yourself/ive-been-hacked-scammed-unauthorized-transactions-on-my-account/

［2］MetaMask Help Center, Account migration guide: https://support.metamask.io/manage-crypto/move-crypto/transfer/account-migration-guide/

［3］Ethereum.org, Scams and incident support: https://ethereum.org/community/support/scams/

Sources checked 2026 年 9 月 8 日。

延伸閱讀：

加密貨幣助記詞外洩怎樣處理？建立新錢包與遷移資產的順序