用户在什么情况下才是用 tty 登录的

我租用的云主机被黑了，多出来了奇怪的用户。可以查到用户是通过 tty 登录的。
而一般远程登录都是 pts 登录的，而且能记录登录的 ip 地址。所以怀疑是他们的主机被黑，导致我的客户机系统受攻击。但是他们坚持是我自己系统的问题。

leetom@S152:~$ last -x ayn1
ayn1 tty1 Wed Oct 28 18:59 - 19:01 (00:02)
ayn1 tty1 Wed Oct 28 18:55 - 18:59 (00:03)

在他们提供的 web 控制台中能查到如下的创建用户的命令。 web 控制台并没有异常登录的信息。

root@(none):/# useradd -o -u 0 -g 0 -M -d /root -s /bin/bash ayn1

他们说这些用户有可能是通过脚本创建的，有可能吗？