凌晨两点，一个朋友发来截图，TPWallet里USDT少了327枚。交易状态却写着成功的。

他第一反应是私钥泄露。我让他先别急，打开tpwallet 浏览器查询，把那条转出记录的哈希复制到对应链的浏览器里。结果很清楚，From是他的地址，To是一个半年前交互过的合约，Input Data里藏着transferFrom的。资产就是旧授权被恶意调用了。这里有个容易踩的坑，他最初在TPWallet内置浏览器查询，页面一直空白了。以为记录丢失。

原因不复杂。钱包当时停在以太坊主网，资产却在BSC的。切到BSC网络，再用tpwallet 浏览器查询同一哈希，Nonce、Gas、合约地址全出来了。

浏览器不会替你判断风险了，它会把交易路径摊开，谁发起、调用了哪个合约、授权额度多大、资金最终进了哪个地址啊？

顺着Internal Txns看的，还能发现资金被拆成三笔，转进不同新地址。我自己的观察是很多人把tpwallet 浏览器查询当成“余额对账工具”，这太窄了。它更像资金流向的放大镜。那笔交易里。合约先调用transferFrom，再把代币换成一篮子代币，最后跨链。

页面上一串0x看着枯燥，真正很重要的是授权记录。早几个月查一次Approve列表吧？327枚USDT可能就不会动。

浏览器查询不能追回资产，能截住下一笔的。他撤销了剩余授权，把余币转到新地址，又用tpwallet 浏览器查询确认新地址没有异常授权。整个过程没有客服，也没有申诉入口。链上世界冷冰冰。哈希不会撒谎。会查浏览器的人，至少能在坏消息里看清第一步该做什么啊？