Bitget 被盗后：用于洗钱的 THORChain 成为争议焦点

编辑 | 吴说区块链、Grok 等

9 月 24 日，Bitget 热钱包和温钱包被转走约 3.875 亿美元。钱出去之后，一部分开始换链。BNB、TRX，以及后来陆续跟上的 XRP，被拆成小额，打进 THORChain，再兑成比特币。

Bitget 的说法是：私钥没丢，冷钱包也没动。攻击者进的是钱包基础设施后端，伪造了交易数据，让交易所自己的授权签名流程把钱签了出去。检测时间是 24 日 18:31 UTC，大规模转出持续到大约 21:23。中间将近三个小时。行业里有人把它和 2025 年 Bybit 被盗对比：那次是签名界面被改，这次是后端数据被改，结果一样，系统签的不是它以为的那笔。Bitget 称手法高度疑似朝鲜相关集群，。

钱出去以后，暂时大部分还没动。AMLBot 在 25 日至 26 日的追踪是：约 88% 赃款停在休眠地址，其中以太坊主网大约 6.83 万枚 ETH 分在 8 个钱包里，XRP 和 ZEC 也有整块没动。真正在流转的，是 BNB、TRX 和一部分 XRP。目标很清楚，把容易被冻结的资产换成原生比特币。

THORChain 出现在兑换环节。Bitquery 统计，到 26 日上午，仅能对上的兑换大约兑出 126.71 BTC，约 1060 万美元，其中 BNB 经 THORChain 兑出约 51.26 BTC，TRX 经桥到以太坊后再进 THORChain 兑出约 48.05 BTC。同期还有 Chainflip、Bridgers、NEAR Intents。26 日 AMLBot 又追到一笔约 4 BTC：TRX 换成 USDT，桥到以太坊，再经 THORChain 换成 BTC，随后进入 Wasabi CoinJoin。也就是说，THORChain 不是终点，是把跨链赃款变成比特币的中间一跳。

旧账也一并被翻出来。MistTrack 说，去年 Bybit 约 14.6 亿美元被盗后，近 12 亿美元赃款在跨链转移时走过 THORChain。这次 Bitget 的攻击地址已公开，安全公司和交易所都在盯，资金再次进入同一协议做兑换。

9 月 26 日，Bitget CEO Gracy Chen 公开点名。她说：攻击者地址已公布并持续追踪，正式要求 THORChain 拒绝为这些地址提供服务。“去中心化是设计原则，不是给已知赃款开路的盾牌。整个行业都在看。”

THORChain 官方的回复很短。对事件表示沉痛，接着说自己和 Bitcoin、Ethereum、BNB Chain 一样去中心化、无需许可，并反问：处理已知赃款时，比特币、以太坊、BNB 链该负什么责任？

OKX 创始人 Star 不接受这个类比。他的第一点是机制：THORChain 用 TSS，由选定的验证者集合共同控制 vault 里的底层资产，达到签名阈值就可以挪钱。从托管看，它不是比特币或以太坊那种底层共识，而是用户和原生链之间的中介。“把中介分给很多人，中介还是中介。”

第二点是先例。今年 5 月，THORChain 自己的 vault 被盗约 1070 万美元，节点很快暂停网络，整网停了约 39 天。Star 的意思是：自己的钱能停，别人的钱就说停不了。能停机，就不是比特币。比特币停不了。THORChain 能停，只是这次选择不停。

批评这边大致是这几种观点。MistTrack 和 Bitget 要的是拒绝服务。Star 打的是定义：它有集体控制权，也有停机记录。社区里重复最多的，是那 39 天。有人写：你们被盗就拉闸，Bitget 被盗就讲无需许可。

另一边并不认“帮黑客洗钱”这个定性。理由也集中。协议层没有账户，谁往 vault 打币、memo 写对，节点按规则处理出站交易。要求拒绝服务，等于要求验证者对一批地址做审查。谁来定名单，证据到哪一档，下一单怎么办，这些问题没有答案。也有人指出，赃款同时走了 Uniswap、1inch、Chainflip、FixedFloat，不是只走 THORChain。根因是交易所热钱包签名链路被打穿，不该把下游开放协议单独拎出来问责。

还有一层常被混在一起：协议和前端不是一回事。有讨论提到，THORChain 此前说过官方界面可以做地址筛查，底层协议仍保持无需许可。Bitget 要的如果是协议层停签，和界面拦截不是同一件事。支持者认为，把这两层 ste 在一起，是在用结果倒逼审查。

两边卡住的，其实是同一个技术事实。THORChain 的出站交易必须由验证者用门限签名签出来。一边说规则允许就该签。一边说你们证明过能集体停机，所以不是签不了，是不愿签。

THORChain 究竟是什么？

2019 年柏林一场 Cosmos 活动上，澳大利亚人 John-Paul Thorbjornsen（JP Thor）和美国开发者 Chad Barraford 做出可演示的跨链兑换原型。RUNE 随后发行，正式主网拖到 2022 年。早期对外一直说没有创始人、只有贡献者。JP 本人用虚构账号 “Leena” 推了近六年开发，2024 年才公开身份。2021 年连续被盗后，美国公司 Nine Realms 接手开发和运维，长期是实际干活的那一方。

它做的是原生资产跨链兑换。用户把链 A 上的币打进该链上的 vault 地址，备注里写目标链、目标资产和收款地址。协议在内部用流动性池完成兑换，再从目标链 vault 打出真正的原生币。BTC 换 ETH，收到的是链上的 ETH。对攻击者来说，这条路的价值很直接：把 ETH、BNB、TRX、XRP 换成比特币，中间不经过要 KYC 的交易所。

结算资产是 RUNE。每个池都是“某资产 : RUNE”。一次跨资产兑换，底层是两跳：先换成 RUNE，再用 RUNE 换成目标资产。用户不必自己持有 RUNE。资金不在某一个运营方手里，而在各链上的 vault 里。vault 的私钥从不完整生成，而是拆成密钥份额，由节点用 TSS 共同持有。单节点拿不走钱。出站转账需要该 vault 内约三分之二节点一起签名。节点要质押 RUNE 才能进验证者集合，集合会轮换。作恶会被罚没质押。

所以它既不是普通 AMM，也不是比特币。用户侧看起来像无需许可的兑换：不用开户，把币打到公开地址即可。资产侧又确实有一群人共同托管各链上的原生币。Star 说的“中介还在”，指的就是这一层。THORChain 自己的叙事是：没有公司可接收下架函，协议只检查交易是否符合规则。5 月那次停网说明，节点协调之后，网络是可以被暂停的。两套说法同时成立，争议才持续。

后续能看到的，大概是这几条：

第一，协议层大概率不会为这一批地址改规则。官方已经把责任推回比特币和以太坊。真在协议里加黑名单，等于承认自己不是它一直说的那种基础设施。更可能出现的，是前端、聚合器、钱包自己挡，底层继续跑。

第二，压力会落到节点，而不是官网声明。出站必须有人签。如果朝鲜相关定性被更多机构坐实，验证者面对的就不是舆论，而是制裁和执法风险。节点可以选择继续签、延迟签，或者在出站环节不配合。这不需要改代码，但需要集合里有足够多人采取同一立场。5 月已经证明，这种协调做得到。

第三，资金不会停在 THORChain。已经看到 CoinJoin。THORChain 被盯得越紧，攻击者越会把单拆小，或者改走 Chainflip 一类通道，再进混币。追踪不会断，但冻结会越来越难。大头 ETH 和大部分 XRP 目前还趴着，那才是下一阶段的重点。

第四，监管和交易所会把“跨链中性”这件事说得更硬。Bybit 之后是 Bitget，同一条通道两次出现在公开赃款路径上，CEX、链上分析公司和部分司法辖区很难再把它只看成技术中性。反过来，DeFi 一侧会继续坚持：先问交易所为什么能被自己的签名流程转走几亿美元。