Tether冻结Ledger相关USDT之后，最容易被误读的是“冻结了多少”与“拿回多少”。我更重视资金的处置状态：限制一个地址转移代币，和把资产真正返还给受害者，中间还有需要核实的步骤。热点中的冻结消息值得关注，但不应直接写成追赃已经完成。
前篇讨论的是Ledger对CryptoBilis渠道的预防性停销：北京时间10月9日21:32，官方支持账户说正在调查东南亚经该经销商购买产品者的资金损失报告，要求暂停销售及发货。那份声明确认了调查与渠道措施，没有在可读取主文中公布最终损失金额或攻击机制。当前重读，仍不能把停销扩展成所有硬件产品已被攻破。
这次新增的是Bitquery原始链上调查给出的冻结口径。报告称，10月9日UTC12:09—14:10，也就是北京时间20:09—22:10，Tether对37个关联地址进行了限制，其中20个地址持有合计约1000万USDT。37是被处理地址的数量，20是当时仍有相应USDT余额的地址数量；两者不能当成同一组受害者人数。
报告还记录，UTC15:30、北京时间23:30，四个被归为场外交易中间环节的钱包解除限制。这提醒我们：资金经过某个地址，不自动证明该地址拥有者就是攻击者；地址可能同时处理其他人的资产。链上流向、地址归属和责任认定要分别找证据，不能凭一条转账箭头给人定性。
报告的资金状态图截止于10月9日UTC16:45，即北京时间10月10日00:45。本次12:41读取到的是这一历史截面，不是此刻链上余额。后续是否继续转移、冻结是否扩大或解除、是否发生重发与返还，必须用新的链上记录及处置公告确认，不能从昨夜静态图往前推成实时结论。
冻结可以先降低特定代币继续被移动的风险，但不等于对方曾持有的全部资产都受到相同限制。不同资产与发行机制的处置能力并不相同；即使资金还可以追踪，也不代表控制权已经回到原持有人手中。“能找到”“不能动”和“已经归还”是三个值得单独检查的状态。
我不会把这份调查里的链上解释当成Ledger已经发布的最终事故结论。调查机构的统计和分析有自己的观察范围，官方设备调查又回答另一组问题：密钥究竟在哪个环节泄露，哪些购买者受影响，如何进行针对性处置。若把两类证据混为一谈，数字看似更完整，原因反而容易被说得过满。
相对前篇停销范围，这次增加的是冻结地址与余额口径、限制后来变化的节点，以及报告截面的时间边界。真正能改变判断的下一步，是可核验的新增限制或解除记录、具体返还进展，以及官方对问题环节的定位。在这些证据出现之前，冻结本身是处置进展，资金回到受害者账户仍需要另外证明。
前篇讨论的是Ledger对CryptoBilis渠道的预防性停销：北京时间10月9日21:32，官方支持账户说正在调查东南亚经该经销商购买产品者的资金损失报告，要求暂停销售及发货。那份声明确认了调查与渠道措施，没有在可读取主文中公布最终损失金额或攻击机制。当前重读，仍不能把停销扩展成所有硬件产品已被攻破。
这次新增的是Bitquery原始链上调查给出的冻结口径。报告称，10月9日UTC12:09—14:10，也就是北京时间20:09—22:10，Tether对37个关联地址进行了限制，其中20个地址持有合计约1000万USDT。37是被处理地址的数量，20是当时仍有相应USDT余额的地址数量；两者不能当成同一组受害者人数。
报告还记录，UTC15:30、北京时间23:30，四个被归为场外交易中间环节的钱包解除限制。这提醒我们：资金经过某个地址，不自动证明该地址拥有者就是攻击者；地址可能同时处理其他人的资产。链上流向、地址归属和责任认定要分别找证据，不能凭一条转账箭头给人定性。
报告的资金状态图截止于10月9日UTC16:45，即北京时间10月10日00:45。本次12:41读取到的是这一历史截面，不是此刻链上余额。后续是否继续转移、冻结是否扩大或解除、是否发生重发与返还，必须用新的链上记录及处置公告确认，不能从昨夜静态图往前推成实时结论。
冻结可以先降低特定代币继续被移动的风险，但不等于对方曾持有的全部资产都受到相同限制。不同资产与发行机制的处置能力并不相同；即使资金还可以追踪，也不代表控制权已经回到原持有人手中。“能找到”“不能动”和“已经归还”是三个值得单独检查的状态。
我不会把这份调查里的链上解释当成Ledger已经发布的最终事故结论。调查机构的统计和分析有自己的观察范围，官方设备调查又回答另一组问题：密钥究竟在哪个环节泄露，哪些购买者受影响，如何进行针对性处置。若把两类证据混为一谈，数字看似更完整，原因反而容易被说得过满。
相对前篇停销范围，这次增加的是冻结地址与余额口径、限制后来变化的节点，以及报告截面的时间边界。真正能改变判断的下一步，是可核验的新增限制或解除记录、具体返还进展，以及官方对问题环节的定位。在这些证据出现之前，冻结本身是处置进展，资金回到受害者账户仍需要另外证明。