发现imToken钱包余额异常时，先不要向原地址继续转入资产，也不要把助记词、私钥发给任何“客服”。链上已确认交易通常无法撤回，重点是确认异常、转移剩余资产、撤销风险授权并保存证据。
确认是否真的被盗
余额减少不一定是被盗，也可能是切错网络、导入了不同助记词、代币未显示，或转账尚未到账。复制钱包公开地址，在对应链的区块浏览器查询余额、交易和代币转移记录。若资产仍在链上地址内，检查网络和代币显示；若存在本人未操作的转出交易，应立即按被盗处理。
立即止损并迁移剩余资产
确认异常后，应假设助记词、私钥或设备环境已经泄露。在另一台可信设备上创建全新钱包，使用全新的助记词并离线手写备份，不要截图、保存到云盘或发送聊天软件。
检查旧地址在各条链上的主链币、稳定币、NFT及代币余额，优先转移价值高、流动性强的资产到新地址。转账前可先小额测试，并保留必要Gas费。仅重装imToken、更换手机或修改密码，不能让已经暴露的旧地址恢复安全。
同时记录被盗地址、新地址、异常交易哈希、发生时间、涉及币种和金额。若攻击者会持续转走旧地址新入账资产，说明私钥或助记词可能已泄露，切勿再向旧地址“测试性”转币。
检查并撤销可疑代币授权
部分盗币来自钓鱼DApp、假空投或恶意签名。攻击者可能通过代币授权合约，在无需再次取得私钥的情况下转走资产。可使用对应公链的授权查询工具或可信钱包安全功能，查看并撤销陌生、无限额或不再使用的授权。
撤销授权需要支付链上手续费，只能阻止基于授权的转账，无法解决助记词、私钥泄露问题。若异常交易是钱包地址直接签名发出，旧钱包应立即停用，不应继续收款或连接DApp。
保存证据并防范二次诈骗
保存区块浏览器链接、交易哈希、地址截图、钓鱼网站链接、聊天记录、转账凭证和设备异常信息。若资金流入中心化交易平台，可通过平台官方风控渠道提交交易信息及警方受案材料，请求标记或冻结；是否能追回取决于资金去向、平台规则和司法程序。
不要相信主动私信的“链上追款团队”“黑客找回服务”或要求预付费用的人员。任何索要助记词、私钥、远程控制权限的人都可能是二次诈骗。后续应清理仿冒应用、未知插件和远程控制软件，只从可信渠道下载钱包；日常交互钱包与长期存储钱包分开使用，大额资产尽量采用硬件钱包并定期检查授权。
