当怀疑受到损害时，优先考虑阻止进一步损失，而不是尝试立即追回被盗资金。在采取破坏性行动之前，记录事件时间线、受影响的地址和可疑交易。

不要与任何提供紧急恢复援助的人分享助记词。断开受感染设备与网络的连接，在可能的情况下撤销令牌批准，并保留日志和通信作为证据。

启动保密案例审查以评估范围、取证选项和强化优先级。未经分析而仓促的资金流动可能会使证据保存以及税务或法律报告变得复杂。

EnteleCLOS不保证受损资产的恢复；响应计划的重点是证据、遏制和未来保护。