TENDRIL/USDT 池疑似遭攻击，监测方估计损失约 30.9 万美元

先确认自己是否用过这个池子

30.9 万美元是监测消息所称的损失估计。保留“约”字，不能把它改成已经审计的最终金额。报道没有列出每个地址的损失，也没有提供受影响用户人数，因此不能用这个数字计算每位持有人的平均损失。

TENDRIL/USDT 是报道点名的交易池。仅凭这个名称，不能推断所有 USDT 余额都受影响，也不能推断其他网络上的 USDT、其他资金池或交易所账户同时出现安全问题。对持币者来说，先区分自己持有什么、曾经把什么资产交给哪个合约，比看到 USDT 字样就判断账户失守更有用。

如果你曾经参与这个池子，打开原来使用的钱包，从已完成的交互记录开始查。记录网络、代币合约和交互合约地址，再与后续可以核验的事件资料对照。两篇已打开的快讯没有给出可供本文确认并刊登的池子地址，所以这里不提供一个未经核验的地址，也不把同名代币当作同一个合约。

如果你只在交易所账户里买卖过某个同名资产，就先查账户内的产品和成交记录。资金池事件与某家交易所的充提状态，需要分别核实。本次来源没有说明任何交易所暂停充值、冻结提现或下架 TENDRIL，不能把这些动作写进新闻。

钱包连接与代币授权要分别看

MetaMask 官方帮助页解释，连接钱包与给智能合约代币授权是不同操作。使用去中心化交易所时，用户可能签署授权，让特定合约为所请求的交易操作转移代币。发生安全警报后，读者需要检查的是具体授权对象和额度，关掉网页不能回答这些权限是否仍然存在。

官方指南也把断开应用连接和撤销授权分开处理。已经从钱包移除一个连接的网站，并不代表已经处理了代币授权。打开原有记录，查看授权给了哪个合约、涉及哪种代币，避免把两个不同动作混为一谈。MetaMask 的授权撤销说明是本段操作原理的来源。

这份指南列出的 MetaMask Portfolio 授权查看功能支持网络包括 BNB Chain，并介绍了区块浏览器的授权检查工具。需要检查时，从钱包官方帮助页确认入口，不要因为一条回复写着“官方处理通道”，就进入一个从未核实的网站。

撤销授权本身需要链上交易，也需要支付网络费用。确认之前，应逐项查看钱包显示的网络、代币和被授权合约。本文没有证据说明 TENDRIL 事件由授权漏洞导致，因此不能把这项检查写成已验证的修复办法；检查权限和追回损失也是两个不同问题。

尤其不要为了查看旧交易，就批准一项陌生的新请求。先保存已有交易哈希和地址，弄清钱包正在要求你签署什么。如果页面把“查询损失”和“批准代币转移”放在一起，应把它们拆开理解：本文核实的消息没有授权任何恢复网站替用户操作资金。

已经转账的读者先核对状态

如果转账已经提交，保留交易哈希、发送地址和接收地址。先核对交易记录中的网络，再到自己直接打开的账户里查看接收状态。不要只因社交消息声称“转账失败”，就立刻重复发送。这是检查个人记录的建议，不表示本次事件已经导致某家交易所入账失败。

如果订单仍然挂着，先确认它是哪一个市场、哪一种产品、是否成交。池子损失消息没有给出当前 TENDRIL 的价格、成交量或订单深度。30.9 万美元不能换算成某个卖单一定能成交的价格，也不能证明接下来币价会朝哪个方向走。

已有仓位的读者，可以把安全检查和交易决策分开记录。安全检查关心自己是否与相关合约交互、留下什么权限；订单检查关心眼前提交的是哪笔交易、当前状态是什么。缺少第一类证据时，不要用一条市场报价补上；缺少第二类资料时，也不要用一个损失估计代替成交记录。

资金费率看板和清算页面各自展示其他类别的市场信息，需要使用时查看页面标明的覆盖范围。本文没有用它们证明资金池攻击，也没有把这些页面上的数字加进 30.9 万美元的损失估计。

下一条更新需要带来哪些新证据

有用的后续材料应给出可核对的内容。例如交易哈希和明确的池子地址，可帮助读者检查自己的交互记录；技术报告需要说明相关合约实际做了什么；追回资金的说法则需要金额及去向。仅仅把同一个估计换成另一种标题，不能回答这些问题。

当前两篇报道没有提供攻击者身份、项目方完整回应、损失分配或赔付条件。本文也没有核实风险已经结束。任何自称帮助领取赔付的页面，都需要自己的来源和验证，不能借用 TenArmorAlert 的监测消息作为授权。

若后续报告修正损失估计，应先对照它统计的范围。新数字究竟是总损失、已追回金额，还是某个地址的余额，需要分别标明。不能把几个不同口径相减，就直接写成用户最终要承担的损失。本次资料还不足以完成这种计算。

保存消息时，把报道时间和归因一起留下。新加坡时间 15:05 是 PANews 的发布时间，不是本文核实出的链上攻击发生时刻。页面更新时间和攻击交易时间之间也不能画等号；要建立准确时间线，还需要交易记录。

常见问题

30.9 万美元是所有 USDT 用户的损失吗？

不是来源所描述的范围。两篇快讯针对的是 BSC 上的 TENDRIL/USDT 池，没有提供全部 USDT 持有人的损失数据，也没有逐户计算。

断开钱包连接就等于撤销授权吗？

MetaMask 官方指南把它们视为不同操作。应查看具体代币授权，而不是仅凭连接列表已经清空来判断。

撤销授权可以追回这次损失吗？

指南介绍的是通过链上交易移除授权权限。已打开的事件报道没有证明这种操作能追回 TENDRIL 池的损失。

这次攻击的方法已经确认了吗？

本次打开的消息称其为可疑攻击，并将监测及金额归于 TenArmorAlert。它们没有提供可核验的漏洞分析或最终事件报告。