安全事件

出事时该怎么办 — 账号被盗、钱包异常、钓鱼、想上报安全问题。

---

我怀疑账号被盗了。 按从快到慢的顺序处理：

1. 如果钱包私钥可能已经暴露，第一时间转移资金。 这是唯一能真正保住链上资金的动作 —— 详见下面的钱包部分。链上转账一旦发生，你在 Alphio 里做任何操作都追不回来。
2. 在登录页用 Forgot password 重置密码。如果你用的是社交登录，请直接去该提供方那里加固账号 —— 是它在控制你的 Alphio 访问权。
3. 在你用到的每个端上重新登录一次。 Alphio 每个端只保留一个有效会话，重新登录会把该端上的其他会话挤下线。Web 和手机 App 是分开计算的 —— 在 Web 上重新登录不会挤掉 App 的会话，所以两边都要做。
4. 在每个已连接账户的操作菜单里（个人资料 → 账户）断开已连接的券商和交易所，切断进一步的交易授权。
5. 逐个取消正在运行的 Agentic Trading 任务（在 Tasks 列表里操作），停掉你在跑的跟单（copy trader）、停掉你的 Agent Warrior，并关闭快速交易。
6. 联系 contact@alphio.ai，提供怀疑被盗的 时间戳、已知的 IP / 设备、观察到的 可疑动作（交易、提现、设置变更）。

有几个限制必须说清楚，因为它们直接决定了哪些动作才真的有用：

• 重置密码不会让其他设备退出登录 —— 那是第 3 步要解决的事。Alphio 没有活跃会话（active sessions）页面。重置密码相当于换了把锁，但赶不走已经在屋里的人。
• Alphio 的验证器 App 保护提现、导出私钥和添加新提现地址，但不用于登录。如果你设置过验证器，只拿到你密码的人做这些操作时仍需要你设备上的动态码。如果没设置过，重新掌控账户后请在 设置 → 验证器 App 里设置。见 钱包与安全 FAQ。
• 登录状态下没有「修改密码」入口，也没有一键暂停全部策略的开关。Agentic Trading 任务只能一个一个取消。
• 客服无法冻结账号、无法撤销交易、也无法追回已转走的资金。对 Hyperliquid 而言，Alphio 不托管你的资产 —— Alphio 的交易 agent 能下单，但不能提现。真正能保住资金的，是第 1 步的速度。

钱包上有可疑活动。 你控制私钥的链上钱包，链本身就是真相源 — 在区块浏览器查该钱包的 tx 历史：

• 看到 未授权交易 时，私钥可能已经泄露。立即把剩余资金转到全新钱包（新生成、从未暴露）。
• Alphio（Privy）钱包 — 如果你导出过私钥并泄露，钱包已被攻陷。立即把资金转到一只你自己控制的全新钱包。
• MetaMask / WalletConnect / 外部钱包 — 助记词 / 私钥在钱包 app 内，不在 Alphio。怀疑泄露立即迁移到新钱包。

在 Alphio 里断开券商或交易所，只会移除 Alphio 这一侧的连接。你在交易所（KuCoin、Kraken）创建的 API key 不会被自动撤销 —— 需要你自己去该交易所的 API 设置里删除。Robinhood 则要同时在 Robinhood App 里断开该 agent。

在 Alphio 里删除钱包，只会把钱包记录从你的账户里移除，不会销毁私钥、也不会转移资金，更不会让已泄露的私钥重新变安全。真正解决问题的是把资金转走，删记录只是账面清理。

用 revoke.cash 之类工具 撤销受影响钱包的 token approvals，阻止通过已有授权继续被拉走。通过客服上报事件，提供钱包地址和可疑 tx hashes。

Telegram bot 连接掉了 — 有安全风险吗？ 失去 Telegram bot 绑定 = 该 Telegram 账号收不到通知；这件事本身 不会给任何人新的访问权限：

• Telegram 绑定是通知通道 + 与 Alphio AI 的双向对话。它不能下单，也不能转移资金，但它并不只是「只读」：它可以查看余额和持仓，也可以创建或修改定时任务和通知规则。请把它当作一种账号访问权，而不只是一个消息推送。
• 如果你怀疑 Telegram 账号本身 被攻陷（不只是 bot 绑定），按更大范围被盗处理：先恢复 Telegram 账号本身，再把 Alphio 重绑到干净的 Telegram 账号。
• bot 因不明原因掉线时，通过 Connect Telegram 重新绑定即可 —— 多数掉线是常规原因（token 轮换、账号变更）。

上报安全问题。 平台级安全问题（不只是个人账号被盗），发邮件到 contact@alphio.ai，提供：

• 问题的清晰 描述。
• 可复现的 复现步骤（如有）。
• 你判断的 影响范围（攻击者能干什么？）。
• 你的 账号，方便团队归因和跟进。

冒充 Alphio 的钓鱼邮件。 钓鱼越来越多。几个辨别启发：

• 发件域名 — 合法 Alphio 邮件来自 @alphio.ai。形似域（alph10.ai、alphio-support.com 等）是钓鱼。
• 紧迫 / 威胁 — "24 小时不点链接账号就删" 是经典钓鱼。Alphio 不发这种。
• 要密码 / 助记词 — Alphio 永远不会 通过邮件要你的密码或钱包助记词。任何要这些的邮件都是钓鱼。
• 要你主动转账 — Alphio 永远不会让你转一笔到某地址来"验证"或"解锁"。

收到可疑邮件，转发到 contact@alphio.ai 让团队确认。不要点可疑邮件里的链接，浏览器手敲 alphio.ai。

Alphio 的官方渠道只有 contact@alphio.ai、telegram.me/AlphioAI 和 discord.gg/ZB92kjEk9r。其他任何自称 Alphio 客服的 —— 尤其是主动私聊你的 —— 都不是我们。