发现事件后尽快保存交易导出、交换记录、电子邮件通信、设备日志和描述事件的时间顺序注释。

在捕获证据之前，避免更改钱包软件、将设备恢复出厂设置或删除应用程序。屏幕截图应尽可能包括可见的时间戳和元数据。

按日期和来源组织证据，以支持机密评估期间的时间线重建和所有权验证。

证据质量直接影响回收可行性分析；无论证据完整性如何，EnteleCLOS 均不保证结果。