数据截点 2026 年 9 月 26 日 22:30(UTC+8)· 报告编号 RCX-RI-20260926-THORCHAIN · 协议机制取自 THORChain 官方文档与官方博客原文；Bitget 案资金流向核自 Bitquery 逐笔链上调查、慢雾 MistTrack 标记地址与 Bitget 官方公告；Bybit 案数据核自 CoinDesk、Cointelegraph、Elliptic 及 Chainalysis 口径；KelpDAO 案核自 Cointelegraph、CryptoBriefing、BeInCrypto 等对 EmberCN/ZachXBT/Arkham 追踪的报道；执法案例核自德国 BKA 官方新闻稿、Elliptic、TRM Labs、DL News；RUNE 行情取自 CoinGecko · 本报告与文中所有项目均无利益关系，不构成任何投资建议
9 月 26 日，被盗 3.875 亿美元(初报 3.516 亿，后因新增 Zcash 与 TRON 资产上修)第三天的 Bitget，其 CEO Gracy Chen 在 X 上点名了一个协议：”我们的攻击者地址已公开列出并被积极追踪。我们正式要求 @THORChain 拒绝为这些地址提供服务。去中心化是一种设计原则，而不是为已知被盗资金提供便利的挡箭牌。行业正在关注。”同一天，安全公司慢雾发布报告，标题是一句质问——《THORChain 与赃款：行业需要答案》。
这不是 THORChain 第一次站在这个位置。2025 年 2 月 Bybit 被盗 14.6 亿美元，约 12 亿、85% 的赃款经它换成比特币；2026 年 4 月 KelpDAO 被盗 2.92 亿，黑客用一天半时间把 1.75 亿美元的 ETH 经它全部换成比特币；如今 Bitget 的 BNB、TRX、XRP 正在排队走同一条路——我们在上一篇 Bitget 被盗案报告里预言的”约 45 天洗钱窗口”，第一站就是它。三案作案手法不同、被盗资产不同、发生链不同，但赃款的出口惊人地一致。本报告回答两个问题：THORChain 到底是个什么产品；以及它的哪些设计，让它在每一次巨额被盗案里都成为洗钱流水线上最稳定的一环。
一、THORChain 是什么：一台没有账户的跨链”兑换机”
先给一个最短的定义：THORChain 是一条专门做跨链原生资产兑换的独立区块链——你把真的比特币发给它，它把真的以太坊发回给你。没有包装代币(不是 WBTC 那种”欠条”)，没有中心化交易所的账户和托管，没有注册、没有 KYC、甚至没有必须使用的官方网页。它想取代的东西有两个：把币存进交易所换币再提出来的”托管风险”，和把币锁进跨链桥换取映射资产的”桥被黑风险”。
它的运转可以拆成五步：
- 资金池打底：每一种支持的资产(BTC、ETH、XRP、TRX 等)都与协议原生代币 RUNE 组成一个流动性池。RUNE 是所有池子的公共”中转水管”——任何 A 换 B，协议内部实际走 A→RUNE→B 两跳，但用户全程感知不到 RUNE 的存在。
- 发币即下单：用户不需要”登录”任何系统，把资产转进 THORChain 的金库地址、并在交易的备注字段(比特币上是 OP_RETURN)写一行 memo——想换什么资产、发到哪个地址——就完成了下单。memo 就是它的全部 API，一段脚本就能批量操作。
- 节点见证：约百个匿名节点各自运行 Bifrost 模块盯着所有接入链，看到入金后进行共识确认(需 67% 节点一致)，随后状态机自动定序、撮合，节点无法插队或审查单笔交易——协议规则里，无效交易的处理方式是原路退款。
- 门限签名放款：金库由 TSS(门限签名)控制，完整私钥从不存在于任何一台机器上，放款需要超多数节点的密钥分片共同签名。节点需抵押超过 30 万枚 RUNE(目标是全网抵押值≈池内资产的两倍)，作恶即罚没；节点集合每两天半自动轮换一次，防止被”定点捕获”。
- 大单不怕深度：2023 年上线的流式交换(streaming swaps)把大单拆成数百个子单、按 TWAP 节奏分批执行，让套利机器人有时间从外部市场搬平衡——官方原话是”与池子本身同等规模的大单也能以极小滑点完成“。这正是九位数赃款能从容通过的技术前提。
THORChain 官方把 THORSwap、Asgardex 这类交易界面比作”浏览器”——它们只是帮用户拼好那行 memo 的入口，Ledger Live、Trust Wallet 等主流钱包也内置了它的兑换路由。这意味着：任何一个前端下线、加黑名单、做合规筛查，协议本体照常运转，用户(以及黑客)永远可以绕开所有前端、直接向金库地址发交易。2023 年 10 月 FTX 黑客洗钱 1.31 亿美元时，THORSwap 前端在咨询执法部门后主动进入”维护模式”并加装了筛查——而链上的兑换从未停止。这个”前端可拦、协议不可拦”的结构，是后文所有争议的技术根源。
二、从研究项目到”一周洗完一个季度”：一部折腾史
| 时间 | 事件 | 注脚 |
|---|---|---|
| 2018 | 立项，长期以研究项目形态开发 | 多创始人匿名传统，JP Thorbjornsen 为最知名的早期贡献者 |
| 2021-04 | 多链 Chaosnet 上线(BTC/ETH/BCH/LTC/BNB) | 首个无包装资产的原生跨链兑换协议 |
| 2021-07 | ETH Router 连续两次被黑，损失约 $800 万，恢复交易时又因操作失误扩大缺口至约 $1,600 万 | 停网数周、外部借款回填，险些资不抵债 |
| 2022-06 | 正式主网，约 100 个匿名节点接管网络 | RUNE 已从 2021 年 5 月的 $20.87 高点回落 |
| 2025-01 | ThorFi(储蓄+借贷)约 $2 亿负债兑付危机：联创用管理密钥暂停、当天被节点投票推翻；节点随后自行投票暂停产品 90 天 | RUNE 单日 -30%、一周 -44%，被比作”小型 Luna” |
| 2025-02 | 社区通过 Proposal 6：清退借贷储蓄业务，债转股发行 TCY(1 TCY 对应 1 美元债权，永久分享 10% 协议费) | 回归纯跨链兑换主业；同月 Bybit 案爆发 |
| 2025-06~Q3 | 接入 XRP Ledger 与 TRON，完成 EdDSA 改造并接入 Solana | 支持链扩至 13 条，打通 BTC 与 TRON-USDT 等”高需求路径” |
把它的商业体量摆出来，才能看懂洗钱流量对它意味着什么。按官方 2025 年三季报：该季度总兑换量 44.8 亿美元、170 万笔、约 8.8 万个独立地址，协议 swap 手续费收入 363 万美元；2026 年 4 月前后的正常日量约 2,000-3,500 万美元。而 Bybit 案发那一周，它单周兑换量 46.6 亿美元——一周超过一个正常季度；Chainalysis 保守估计其节点与相关钱包从该案赚取超过 1,200 万美元费用——一案约等于三个正常季度的协议手续费收入。KelpDAO 案的一天半，也贡献了约 8 亿美元量与 91 万美元费用，把当日收入推上历史级水平。与之对照的是代币的长期表现：RUNE 现价约 $0.73、市值约 2.4 亿美元，距 2021 年高点跌去 96.5%——洗钱大案带来的”业绩脉冲”，从未真正救起它的价格；耐人寻味的是，Bitget 案发酵的这两天，RUNE 反而上涨约 15%。
三、为什么洗钱者独宠它：六个结构性原因
把三大案的行为模式与协议设计对照，黑客选择 THORChain 不是偶然，而是它的六个特性恰好逐条命中了洗钱的需求清单：
- 出口是比特币——加密世界唯一”冻不住”的大池子。被盗资产大多是 ETH、稳定币、XRP 这类”有人管”的资产：稳定币发行方能拉黑(本次 Bitget 案 Circle 与 Tether 冻了 33.9 万美元)，账户型公链好打标、交易所好拦截。而比特币没有发行方、没有冻结开关。Bitquery 对 Bitget 案的原话式结论是：“我们追到头的每一条出口，最终都落在比特币上。”换成 BTC，追踪可以继续，但”没收”从此只剩理论可能。
- 无账户、无 KYC、无前端依赖。一行 memo 就是全部交互，黑客用脚本向金库地址批量发交易即可——Bitget 案中攻击者向 THORChain 金库连发 328 笔 XRP 存款，全程无人可以要求”先验证身份”。
- 深度与流式交换能吃下九位数。KelpDAO 案 1.75 亿美元一天半洗完，Bybit 案 12 亿十天洗完——流式交换把巨额赃款拆成子单、让套利者从全市场搬来流动性，等于全加密市场在无意识地为赃款接盘。
- 没有可冻结的中间态。资产在金库里只停留确认与签名所需的几分钟；协议规则甚至保障了黑客的”资金安全”——Bitget 案中 130 笔不符合规则的存款被原路退回(约 147 万 XRP)，规则面前，赃款与良币被一视同仁地服务。
- 没有人能按下停止键。链级暂停是个”运营参数”：3 票节点同意即可暂停、4 票即可推翻。Bybit 案中三个验证人投票暂停 ETH 兑换以阻断朝鲜黑客，约 30 分钟后就被反向投票推翻——这是它历史上距离”拦截赃款”最近的一次。
- 执法找不到实体。它没有公司主体、没有可查封的服务器、没有服务条款，节点匿名且每两天半轮换。执法机关对同类角色的三板斧——制裁协议(Tornado Cash)、查封服务器(eXch)、施压前端(THORSwap)——在它身上要么无处着力，要么只打掉了”浏览器”。
与 Tornado Cash 那种切断资金前后关联的混币器不同，THORChain 全程透明可追——Bitquery 能把每一笔比特币出款与对应的 swap memo 逐笔配对，328 笔存款、130 笔退款都摆在链上。它真正提供的是三样东西：把资产换成无发行方、无冻结能力的比特币；让资金脱离可打标、可拉黑的账户型生态；以及”无论你是谁都保证成交”的执行确定性。真正的匿名化发生在下一站——Bitget 案中部分兑出的比特币已进入 CoinJoin 混币，Bybit 案的 BTC 随后流经 Wasabi、Cryptomixer 等混币服务。在洗钱流水线上，THORChain 的角色不是”洗白机”，而是把赃款从”可没收资产”转换成”不可没收资产”的那道闸口——这也是为什么每一案它都是第一站。
四、三案对照：同一条流水线的三次运转
| 维度 | Bybit(2025-02) | KelpDAO(2026-04) | Bitget(2026-09，进行中) |
|---|---|---|---|
| 被盗金额 | $14.6 亿(史上最大) | $2.92 亿 | $3.875 亿(初报 3.516 亿后上修) |
| 归因 | Lazarus(FBI 确认) | 疑似朝鲜(链上分析师口径) | 疑似朝鲜关联(未最终确认) |
| 经 THORChain 规模 | 约 $12 亿，占 85% | 约 $1.75 亿(75,700 ETH)几乎全部 | 已兑出约 $3,700 万：BNB/TRX 换出 126.71 BTC，XRP 换出 1,724 万枚，仍有 $3.12 亿未动 |
| 耗时 | 10 天(499,000 ETH) | 约 1.5 天 | 案发第二天启动，进行中 |
| 协议增量收入 | 费用 $550 万(EmberCN)~≥$1,200 万(Chainalysis 含节点钱包)；周量 $46.6 亿创纪录 | 量 $8 亿、费约 $91 万，历史级单日 | 持续累积中 |
| 能拦住的部分 | 稳定币冻结、交易所拦截为主 | Arbitrum 安理会冻结 30,766 ETH($7,100 万) | 稳定币仅冻 $33.9 万；Arbitrum/发行方链上冻结与交易所协查 |
| 各方反应 | 3 节点暂停 ETH 被 30 分钟推翻；核心开发 Pluto 辞职；FBI 发通告点名要求切断 | Umbra 前端下线维护；追回希望集中在被冻结部分 | Gracy Chen 正式要求拒绝服务；慢雾发《行业需要答案》；TRM 发分析 |
三案摆在一起，一个模式浮出水面：能被冻住的钱，全部冻在”有人管”的环节——稳定币发行方、L2 安理会、中心化交易所；而一旦进入 THORChain 换成比特币，就再没有任何一笔被追回过。KelpDAO 案是最锋利的对照实验：同一个黑客、同一批赃款，放在 Arbitrum 上的 7,100 万美元被安理会一纸投票冻结，抢先送进 THORChain 的 1.75 亿美元则在 36 小时内变成了谁也碰不了的比特币。这也解释了为什么 Bitget 案黑客在 Tron 钱包被盯上后，用 22 笔交易在两个半小时内把它清空、火速送往 THORChain——对黑客而言，每一分钟的拖延都是被冻结的风险敞口。
五、按不下去的停止键：协议内战与三条失效的执法路径
THORChain 并非没有”良心时刻”。Bybit 案中那次 30 分钟的 ETH 暂停被推翻后，核心开发者 Pluto 宣布”即刻起不再为 THORChain 做任何贡献”；发起暂停的验证人 TCB 公开表示”如果我们不能迅速拿出阻断朝鲜资金流的方案，我也将退出”。而站在另一边的，是最知名的联合创始人 JP Thorbjornsen：他坚称”协议不洗钱”，节点处理交易与比特币矿工打包交易并无二致，且”我未被任何当局送达过法律文书”；他还补充，黑客换成 BTC 后终归要去中心化交易所换法币，”KYC 的卡口在末端”。这套”矿工论”是整个去中心化世界最经典的抗辩——但它回避了一个数字：矿工不会因为某一票赃款而单周多赚三个季度的钱。
- 代码即规则：无差别执行是抗审查的定义本身，一旦为”好人”开了拦截先例，任何政府都能要求拦截任何人；
- 追踪并未失效：全程链上可查，执法可沿 BTC 继续追踪至交易所出金口；
- 末端有卡口：换成法币终究要过 CEX 的 KYC，那才是执法主场；
- 类比成立：比特币矿工、以太坊验证者同样处理过赃款交易，无人要求他们逐笔审查。
- 规模不可比：85% 的 Bybit 赃款走同一协议，这不是”顺路经过”，是路径依赖级的基础设施；
- 收入不可比：单案手续费≈三个正常季度收入，”中立”背后有直接经济利益；
- 能力不可比：协议明明有链级暂停机制(3 票即停)，”不能拦”其实是”投票选择了不拦”；
- 先例不可比：THORSwap 前端、Umbra 前端都在执法压力下下线整改，唯独协议层以去中心化为由豁免自己。
而执法机关手里的三张牌，对它恰好张张打空。这是理解”为什么它还在运转”的最后一块拼图：
| 执法路径 | 先例 | 结果 | 对 THORChain 适用吗 |
|---|---|---|---|
| 制裁协议本身 | Tornado Cash：2022 年 8 月被 OFAC 列入 SDN，首个被制裁的智能合约；开发者 Pertsev 在荷兰获刑 64 个月 | 2024 年 11 月美国第五巡回法院裁定”不可变智能合约不构成可制裁财产”，2025 年 3 月财政部将其移出制裁名单 | 司法基础摇摆；且 THORChain 金库地址随节点轮换持续变化，名单维护成本极高 |
| 查封运营实体 | eXch：无 KYC 换币服务，经手 $19 亿(含 Bybit 案约 $2 亿)，2025 年 4 月德国 BKA 查封服务器、扣押 8TB 数据与 €3,400 万加密资产，运营者被刑事调查 | 有效——因为它有服务器、有运营者 | 不适用：无公司、无服务器、约百个匿名节点分布全球且每 2.5 天轮换 |
| 施压前端与周边 | THORSwap：2023 年 FTX 黑客案后下线整改、加装筛查；Umbra：KelpDAO 案后前端进入维护模式 | 对前端有效 | 打不到本体：memo 直连金库即可绕过一切前端 |
剩下的最后一个抓手，是 Chainalysis 在 Bybit 案后点出的：THORChain 的部分钱包开发者与节点运营者是公开身份的，且身处美国等反洗钱执法严格的法域——他们从赃款流量中赚取的费用，理论上可能构成执法切入点。这也是慢雾《行业需要答案》与 Gracy Chen”行业正在关注”背后真正的压力方向：不是关停协议，而是让”匿名协议”背后可识别的人开始掂量法律风险。
六、判断：抗审查与洗钱通道，是同一枚硬币的两面
我们的判断是：THORChain 的”洗钱工具”属性不是漏洞或堕落，而是其核心产品力——”任何人、任何金额、无人可拦的原生跨链兑换”——在对抗性场景下的必然投影。它解决的真问题(桥被黑、托管暴雷)与它制造的真问题(赃款无法拦截)出自同一套设计，技术上不可能只保留前者。因此争论的实质从来不是”能不能拦”——3 票即可暂停的机制摆在那里——而是一个经济上显著受益于灰色流量的匿名节点集合，是否会自愿放弃这部分收入。Bybit 案给出的答案是否定的：暂停存活了 30 分钟。真正可能改变均衡的只有两种力量：其一，监管把成本加到可识别的人身上(公开节点、开发者、集成它的钱包与前端)，让”中立”变得昂贵；其二，行业把它隔离成”高危基础设施”——当 Ledger、Trust Wallet 们因合规压力移除集成、当主流 LP 因声誉风险撤出流动性，它的深度与体验会自然退化成一个专属灰色资金的小众管道，正如 eXch 的宿命，只不过没有服务器可查封的版本。短期内，它仍将是每一次九位数被盗案的第一站；而它每多”成功”一次，距离成为下一个 Tornado Cash 式的监管样板案，就近一步。
七、结论与三个观察指标
给 THORChain 一句话定性：它是加密世界最彻底的”无人值守兑换机”——用匿名节点、门限签名和 memo 指令实现了真正无账户的原生跨链兑换，也因此成为巨额赃款从”可冻结资产”逃入比特币的标准闸口；它的问题从来不是技术做不到拦截，而是治理结构与经济激励决定了没有人会去按那个按钮。Gracy Chen 的”挡箭牌”之问，本质是在要求行业回答：当去中心化的收益(抗审查)与成本(为国家级黑客服务)由不同的人承担时，这套叙事还能自洽多久。
后续值得盯住三个指标：其一，Bitget 案剩余 3.12 亿美元的动向——68,465 枚 ETH 与 8,298 万枚 XRP 仍趴在攻击者地址上，它们进入 THORChain 的速度、以及协议节点是否出现历史第二次拦截投票，是检验”行业施压是否有效”的最直接样本；其二，监管升级信号——OFAC 是否将 THORChain 金库地址纳入制裁(Tornado 案司法反复后的新姿势)、FinCEN 是否启动特别措施、以及任何针对公开身份节点运营者或钱包集成方的执法动作；其三，生态的用脚投票——主流钱包与前端是否移除或筛查其路由、流动性提供者是否撤退，以及 RUNE 价格对”洗钱溢价”的定价方式(本次案发两日 RUNE 上涨约 15%，市场显然还在把赃款流量当业绩看)。三个指标共同决定这台机器的结局：被隔离、被驯化，或者继续作为加密行业最尴尬的那面镜子运转下去。
① 协议机制(双池路由、Bifrost/TSS、memo、流式交换、节点保证金与轮换、3 票暂停/4 票推翻)取自 THORChain 官方文档、官方 FAQ 与官方博客(含 2021 年 ETH Router 事件复盘、ThorFi Unwind、2025 年 Q2/Q3 季报)；② Bitget 案资金流向以 Bitquery 逐笔链上调查(截至 9 月 25-26 日各时点)与 YFarmX 复盘为准，攻击者地址与持仓以慢雾 MistTrack 9 月 25 日标记为准，被盗总额 $3.875 亿以 Bitget 官方 9 月 26 日公告为准，”已换出约 $3,700 万”为 BNB/TRX 兑出的 126.71 BTC(约 $1,060 万，截至 9/25 14:38 UTC)与 XRP 换出约 $2,682 万(截至 9/25 21:51 UTC)之和，时点不同、后续仍在增加；③ Bybit 案”85%/约 12 亿美元”取自 CoinDesk 对多家分析机构追踪的报道，费用给出三个口径(EmberCN 约 $550 万、创始人自述 $500-1,000 万、Chainalysis 含节点相关钱包的保守估计 ≥$1,200 万)；④ KelpDAO 案数据取自 Cointelegraph、CryptoBriefing、BeInCrypto 对 EmberCN、ZachXBT、Arkham 的转述；⑤ “洗钱窗口第一站”等表述描述的是资产转换行为的链上事实，THORChain 协议及其节点未被任何司法机关认定为洗钱主体，创始人亦公开否认相关定性；朝鲜归因在 Bybit 案有 FBI 确认，Bitget 案截稿时仍为初步判断；⑥ RUNE 行情取自 CoinGecko(截点实时)；⑦ 本文为信息与研究用途，不构成任何投资建议。