編輯 | 吳說區塊鏈、Grok 等 9 月 24 日，Bitget 熱錢包和溫錢包被轉走約 3.875 億美元。錢出去之後，一部分開始換鏈。BNB、TRX，以及後來陸續跟上的 XRP，被拆成小額，打進 THORChain，再兌成比特幣。 Bitget 的說法是：私鑰沒丟，冷錢包也沒動。攻擊者進的是錢包基礎設施後端，偽造了交易數據，讓交易所自己的授權簽名流程把錢簽了出去。檢測時間是 24 日 18:31 UTC，大規模轉出持續到大約 21:23。中間將近三個小時。行業里有人把它和 2025 年 Bybit 被盜對比：那次是簽名界面被改，這次是後端數據被改，結果一樣，系統簽的不是它以為的那筆。Bitget 稱手法高度疑似朝鮮相關集群，。 錢出去以後，暫時大部分還沒動。AMLBot 在 25 日至 26 日的追蹤是：約 88% 贓款停在休眠地址，其中以太坊主網大約 6.83 萬枚 ETH 分在 8 個錢包里，XRP 和 ZEC 也有整塊沒動。真正在流轉的，是 BNB、TRX 和一部分 XRP。目標很清楚，把容易被凍結的資產換成原生比特幣。 THORChain 出現在兌換環節。Bitquery 統計，到 26 日上午，僅能對上的兌換大約兌出 126.71 BTC，約 1060 萬美元，其中 BNB 經 THORChain 兌出約 51.26 BTC，TRX 經橋到以太坊後再進 THORChain 兌出約 48.05 BTC。同期還有 Chainflip、Bridgers、NEAR Intents。26 日 AMLBot 又追到一筆約 4 BTC：TRX 換成 USDT，橋到以太坊，再經 THORChain 換成 BTC，隨後進入 Wasabi CoinJoin。也就是說，THORChain 不是終點，是把跨鏈贓款變成比特幣的中間一跳。 舊賬也一並被翻出來。MistTrack 說，去年 Bybit 約 14.6 億美元被盜後，近 12 億美元贓款在跨鏈轉移時走過 THORChain。這次 Bitget 的攻擊地址已公開，安全公司和交易所都在盯，資金再次進入同一協議做兌換。 9 月 26 日，Bitget CEO Gracy Chen 公開點名。她說：攻擊者地址已公佈並持續追蹤，正式要求 THORChain 拒絕為這些地址提供服務。「去中心化是設計原則，不是給已知贓款開路的盾牌。整個行業都在看。」 THORChain 官方的回復很短。對事件表示沈痛，接著說自己和 Bitcoin、Ethereum、BNB Chain 一樣去中心化、無需許可，並反問：處理已知贓款時，比特幣、以太坊、BNB 鏈該負甚麼責任？ OKX 創始人 Star 不接受這個類比。他的第一點是機制：THORChain 用 TSS，由選定的驗證者集合共同控制 vault 里的底層資產，達到簽名閾值就可以挪錢。從托管看，它不是比特幣或以太坊那種底層共識，而是用戶和原生鏈之間的中介。「把中介分給很多人，中介還是中介。」 第二點是先例。今年 5 月，THORChain 自己的 vault 被盜約 1070 萬美元，節點很快暫停網絡，整網停了約 39 天。Star 的意思是：自己的錢能停，別人的錢就說停不了。能停機，就不是比特幣。比特幣停不了。THORChain 能停，只是這次選擇不停。 批評這邊大致是這幾種觀點。MistTrack 和 Bitget 要的是拒絕服務。Star 打的是定義：它有集體控制權，也有停機記錄。社區里重復最多的，是那 39 天。有人寫：你們被盜就拉閘，Bitget 被盜就講無需許可。 另一邊並不認「幫黑客洗錢」這個定性。理由也集中。協議層沒有賬戶，誰往 vault 打幣、memo 寫對，節點按規則處理出站交易。要求拒絕服務，等於要求驗證者對一批地址做審查。誰來定名單，證據到哪一檔，下一單怎麼辦，這些問題沒有答案。也有人指出，贓款同時走了 Uniswap、1inch、Chainflip、FixedFloat，不是只走 THORChain。根因是交易所熱錢包簽名鏈路被打穿，不該把下游開放協議單獨拎出來問責。 還有一層常被混在一起：協議和前端不是一回事。有討論提到，THORChain 此前說過官方界面可以做地址篩查，底層協議仍保持無需許可。Bitget 要的如果是協議層停簽，和界面攔截不是同一件事。支持者認為，把這兩層 ste 在一起，是在用結果倒逼審查。 兩邊卡住的，其實是同一個技術事實。THORChain 的出站交易必須由驗證者用門限簽名簽出來。一邊說規則允許就該簽。一邊說你們證明過能集體停機，所以不是簽不了，是不願簽。 THORChain 究竟是甚麼？ 2019 年柏林一場 Cosmos 活動上，澳大利亞人 John-Paul Thorbjornsen（JP Thor）和美國開發者 Chad Barraford 做出可演示的跨鏈兌換原型。RUNE 隨後發行，正式主網拖到 2022 年。早期對外一直說沒有創始人、只有貢獻者。JP 本人用虛構賬號 「Leena」 推了近六年開發，2024 年才公開身份。2021 年連續被盜後，美國公司 Nine Realms 接手開發和運維，長期是實際乾活的那一方。 它做的是原生資產跨鏈兌換。用戶把鏈 A 上的幣打進該鏈上的 vault 地址，備注里寫目標鏈、目標資產和收款地址。協議在內部用流動性池完成兌換，再從目標鏈 vault 打出真正的原生幣。BTC 換 ETH，收到的是鏈上的 ETH。對攻擊者來說，這條路的價值很直接：把 ETH、BNB、TRX、XRP 換成比特幣，中間不經過要 KYC 的交易所。 結算資產是 RUNE。每個池都是「某資產 : RUNE」。一次跨資產兌換，底層是兩跳：先換成 RUNE，再用 RUNE 換成目標資產。用戶不必自己持有 RUNE。資金不在某一個運營方手裡，而在各鏈上的 vault 里。vault 的私鑰從不完整生成，而是拆成密鑰份額，由節點用 TSS 共同持有。單節點拿不走錢。出站轉賬需要該 vault 內約三分之二節點一起簽名。節點要質押 RUNE 才能進驗證者集合，集合會輪換。作惡會被罰沒質押。 所以它既不是普通 AMM，也不是比特幣。用戶側看起來像無需許可的兌換：不用開戶，把幣打到公開地址即可。資產側又確實有一群人共同托管各鏈上的原生幣。Star 說的「中介還在」，指的就是這一層。THORChain 自己的敘事是：沒有公司可接收下架函，協議只檢查交易是否符合規則。5 月那次停網說明，節點協調之後，網絡是可以被暫停的。兩套說法同時成立，爭議才持續。 後續能看到的，大概是這幾條： 第一，協議層大概率不會為這一批地址改規則。官方已經把責任推回比特幣和以太坊。真在協議里加黑名單，等於承認自己不是它一直說的那種基礎設施。更可能出現的，是前端、聚合器、錢包自己擋，底層繼續跑。 第二，壓力會落到節點，而不是官網聲明。出站必須有人簽。如果朝鮮相關定性被更多機構坐實，驗證者面對的就不是輿論，而是制裁和執法風險。節點可以選擇繼續簽、延遲簽，或者在出站環節不配合。這不需要改代碼，但需要集合里有足夠多人採取同一立場。5 月已經證明，這種協調做得到。 第三，資金不會停在 THORChain。已經看到 CoinJoin。THORChain 被盯得越緊，攻擊者越會把單拆小，或者改走 Chainflip 一類通道，再進混幣。追蹤不會斷，但凍結會越來越難。大頭 ETH 和大部分 XRP 目前還趴著，那才是下一階段的重點。 第四，監管和交易所會把「跨鏈中性」這件事說得更硬。Bybit 之後是 Bitget，同一條通道兩次出現在公開贓款路徑上，CEX、鏈上分析公司和部分司法轄區很難再把它只看成技術中性。反過來，DeFi 一側會繼續堅持：先問交易所為甚麼能被自己的簽名流程轉走幾億美元。