口袋里的增币之谜：从合约到界面的一站式诊断手册
像口袋里突然多出的硬币，本手册以技术手册口吻拆解“TP钱包里币变多”的全部可能。概览：可能原因分为（1）链上增发／重基准（rebase）类机制；（2）反射型代币（reflection）自动分红；（3）界面显示或缓存错误；（4）第三方空投；（5）恶意篡改（包括XSS导致的前端伪装）。
一、Solidity与合约层面判定（必查流程）
1) 在区块浏览器检索代币合约，查看是否存在mint/_mint、rebase或调整总量的函数；识别OwnerOnly修饰符与权限控制；检查Transfer事件https://www.3c77.com ,，若from为0x0则为铸造。2) 查询Transfer与Approval日志，确认是否为反射机制——观察每次转账是否伴随手续费分配。3) 用eth_call读取totalSupply与balanceOf，排除只是UI误报。
二、防XSS与前端防护要点
前端展示须采用Content-Security-Policy、严禁innerHTML直接插入外部数据，使用DOMPurify清洗、innerText/textContent渲染数字，避免通过未验证的RPC响应直接赋值。DApp应使用同源策略与严格输入校验，钱包扩展需对外部脚本隔离。
三、合规与监管视角
全球化数字革命下，代币“意外”增加可能触及证券发行、税务申报与反洗钱义务。空投与增发需记录链上证据并评估是否构成可交易证券，不同法域对空投的合规态度差异显著，建议保存时间戳、交易证据并咨询当地合规顾问。
四、专业观察报告（结论与建议）
发现：若链上显示为mint或rebase，风险为中高（合约可控）；若仅客户端显示不同步，风险较低但提示可能的XSS或缓存问题。建议步骤：A.立刻在区块链浏览器核验事件；B.如怀疑恶意，断开DApp连接并撤销授权；C.联系代币合约审计方或律师；D.对钱包进行完整助记词/私钥安全检查。
结尾：把每一笔意外增加当成一次审计练习，既要追溯字节级的合约调用，也要审视法律边界与前端防护，才能把“口袋里的硬币”变成可控的价值增益。
评论
Liam
细致且实用，特别是关于Transfer事件的判断，受教了。
张婷
关于XSS防护的部分很到位，已分享给项目组前端同事。
CryptoCat
建议再补充如何在TokenPocket里查看交易详情的快捷方法。
小明
合规一节提醒及时，很多人忽视空投的税务问题。
Eve123
专业观察报告条理清晰，步骤可操作性强。