协议被攻击后的第一个24小时：普通持仓者行动清单

DeFi 协议的事故有个固定节奏：链上异动先于公告，谣言先于事实，而多数可挽回的动作窗口就卡在两者之间的头二十四小时。这份清单按分钟到小时的尺度排列，目标不是预测协议死活，而是让你在信息最混乱的时段少犯不可逆的错误。

第一阶段是零到三十分钟，只做一件事：确认事件为真。判断依据按可信度排序是协议自己的链上管理员操作与官方账号公告、区块浏览器里异常的合约调用与大额转账、多家独立媒体的报道。社群截图、行情群里的转发和突然出现的清算截图都不算确认。这个阶段严禁任何新增资金动作：不追加存款、不新开仓位、不碰所谓救市方案。事故早期最常见的手法恰恰是利用恐慌投放钓鱼页面和伪造的空投领取入口。

第二阶段是三十分钟到两小时，把注意力从消息切回自己的持仓。要回答三个问题。第一，你的资产此刻登记在哪：还在协议合约里、已换成 LP 凭证、还是借出状态。第二，事件的传导路径是否触及你：攻击目标是预言机、某个抵押市场、还是包装资产模块，不同靶点对不同仓位的含义完全不同。第三，协议有没有公开暂停函数或提款通道，如果官方已暂停交易，冷静排队比反复重试更省 gas 也更安全。

第三阶段是两小时到当天结束，做能做的防御性动作。最没有争议的一项是全量检查并撤销这个协议在你钱包里的代币授权，尤其是无限额度授权：即便漏洞本身不用得上授权，二次攻击经常走授权路径。其次，把仓位价值转移出受影响合约的每一条路径先列清楚再执行——直接赎回、兑换离场、还是只能等官方处置，路径不通时反复硬试只会白烧手续费。如果发现自己在清算边缘，优先降低借款而不是补抵押，事故时段的喂价和流动性都不可信，降低名义负债是少数不依赖外部条件的自保动作。

第四阶段覆盖剩下时间，主题是防次生灾害。被攻击协议的用户会遭遇一轮精准的社工攻击：仿冒官方客服、假的补偿领取页、要求输入助记词的技术支持，全部默认是诈骗。官方补偿如果需要链上操作，一定来自协议官方合约地址，而不是任何要你连接钱包签名的新域名。同样要警惕的是挤兑踩踏：提现通道还顺畅时不必抢同一秒，但通道已经限速或排队时，能赎回的部分先赎，把留在里面的敞口主动砍小。

二十四小时之后，事件会进入复盘期，那时该读的是技术报告而不是情绪帖。但头一天的经历本身是最好的风险教材：把它记进自己的仓位日志——哪个协议、多大仓位、异常从哪露出、自己哪一步慢了。多数人的事故应对速度是在别人的事故里练出来的，这份清单的价值就在于让你不必从零练。

清单之外再补一个平时就该做的准备：事故当天最大的成本往往不是决策而是找路。平时就把自己每个活跃协议的四条信息抄在一个离线笔记里——存款合约地址、官方公告账号、区块浏览器里该协议的管理者地址、提款路径的入口位置。出事当天这四条信息能帮你绕开九成的仿冒页面，因为真入口你手上就有，不需要搜索引擎现搜。钱包里的授权清理工具也建议提前装好并试运行过一次，而不是在被攻击的当天才第一次搜索怎么撤销授权，那种状态下最容易点进广告位。

风险提示：不同攻击类型的资金去向和可挽回程度差异极大，本文是通用应急说明，不构成投资建议，也不构成对任何事件定性的判断。