这种操作，如果不开审计，一般事后比较难查出来，历史的就更难了。如果是发生不久，可以通过如下方法或许能找到蛛丝马迹

1、如果通过TNS连接，可以看下监听日志是否有对应的连接发起

2、可以看下v$active_session_history和dba_hist_active_sess_history是否有SQL_OPCODE为39、40的记录，如果有再去查是谁

SQL_OPCODE：39 - CREATE TABLESPACE；40 - ALTER TABLESPACE