恢复生活报案与防止二次伤害

恢复涉及人员、法律程序、账户和日常生活。指定一名协调人，避免家人反复向不同服务商解释及作出相同决定。

安全后的最初数小时

安排医疗和安全住所。确认所有人员情况及支持需求。联系当地警方、适用的保险或危机援助方，以及法律和技术响应人员。通过已核实渠道，在可行时冻结或暂停受影响财务权限。

安全保存原始消息及记录，包括相应时区。不修改原件、不公开指控，也不自行联系疑似违法者调查。警方报案记录、服务商编号及简明时间线，有助于不同团队基于相同事实工作。

事件证据包

• 报告人、安全回拨方式、时间和地点。
• 事件经过，明确区分观察到的事实与推测。
• 可能暴露的人员、账户、设备或地址。
• 相关交易哈希、链、金额及接收地址。
• 消息、可获得的邮件头、网址、收据和预订记录。
• 已采取的行动、执行人、时间及取得的案件编号。

不纳入助记词、私钥、完整密码或不必要的个人资料。仅分享给身份已核实、确有需要的接收方。使用安全渠道，并保存受控副本。

接下来几天

检查所有关联账户和权限，而不仅是已明显受损的账户。替换被攻破的恢复路径。评估是否需要调整住宅、学校、员工、签名人或未来行程。核对银行及交易所账单，并留意身份被冒用。

就通知、报案、保险条件、雇佣及披露义务取得适当法律意见。向一家服务商报告，不代表已满足所有要求。涉及美国联系时，FBI IC3可能是额外报告渠道，但它不是国际紧急救援调度服务。[S07] [S08]

减轻事件后的伤害

提供实际及心理支持、暂停交易的时间，以及可信人员协助处理事务。避免责备、强迫重述，或在震惊初期公开发帖。在专业意见下，决定同事或客户需要知道什么。

警惕追偿诈骗。声称拥有内部关系、执法权或保证链上追回能力者，应独立核实。合法追踪不等于能够依法查扣或获得偿还。[S08]

有步骤地结束应对： 记录变更，用小额或模拟账户测试新流程，更新私人计划并撤销临时权限。只有在身份、方法和敏感地点已经妥善去识别化后，才提炼可加入本指南的简短经验。