當懷疑受到損害時，優先考慮阻止進一步損失，而不是嘗試立即追回被盜資金。在採取破壞性行動之前，記錄事件時間軸、受影響的地址和可疑交易。

不要與任何提供緊急恢復援助的人分享助記詞。斷開受感染設備與網路的連接，在可能的情況下撤銷令牌批准，並保留日誌和通訊作為證據。

啟動保密個案審查以評估範圍、取證選項和強化優先順序。未經分析而倉促的資金流動可能會使證據保存以及稅務或法律報告變得複雜。

EnteleCLOS不保證受損資產的恢復；回應計畫的重點是證據、遏制和未來保護。