Zachowaj eksporty transakcji, zapisy wymiany, korespondencję e-mail, dzienniki urządzeń i notatki chronologiczne opisujące incydent tak szybko, jak to możliwe po wykryciu.
Unikaj zmiany oprogramowania portfela, resetowania urządzeń do ustawień fabrycznych lub usuwania aplikacji przed przechwyceniem dowodów. Jeśli to możliwe, zrzuty ekranu powinny zawierać widoczne znaczniki czasu i metadane.
Uporządkuj dowody według daty i źródła, aby ułatwić rekonstrukcję osi czasu i weryfikację własności podczas poufnej oceny.
Jakość dowodów ma bezpośredni wpływ na analizę wykonalności odzyskania środków; EnteleCLOS nie gwarantuje wyników niezależnie od kompletności dowodów.