从加密货币交易所Bitget盗取3.875亿美元的黑客已开始将部分赃款隐藏在Zcash的隐私池中，这是这场洗钱行动的最新一步，而途经资金路径的跨链平台对此作出了截然不同的回应。

链上调查员ZachXBT于周三表示，自9月30日起，攻击者开始将约2,700枚ZEC（Zcash的原生代币，约380万美元）转入Ironwood——隐私导向的Zcash区块链上的一个屏蔽池。

屏蔽池是Zcash网络的一部分，会对发送方、接收方和金额进行加密，因此资金一旦进入便无人能追踪其去向。Ironwood于7月28日上线，用以取代旧池Orchard——此前一名研究人员发现了一个可能让攻击者伪造假币的漏洞。

根据链上追踪，这笔存入的资金约占此次攻击中被盗ZEC的七分之一。调查人员仍能看到代币进入和离开该池，但屏蔽设计意味着他们无法看到中间发生的过程。其余约七分之六的被盗ZEC在所引用的追踪中尚未被观察到进入该池，因此这些余额在任何部分进入屏蔽之前仍对调查人员可见。

这一进展为一周来的分歧画上句号：攻击者在相关服务中得到了截然不同的对待——Near Intents表示已拒绝超过5,000万美元与该攻击相关的兑换，而Thorchain则拒绝了Bitget屏蔽攻击者地址的请求。

Bitget将损失定为3.875亿美元。CEO Gracy Chen表示，攻击的IP地址和模式与朝鲜黑客相符，区块链分析公司Elliptic称与朝鲜的关联"极有可能"。Elliptic还将此次事件列为2026年最大的疑似朝鲜盗窃案，使今年此类盗窃总额突破10亿美元。目前尚无任何政府确认这一归属。

资金如何流入至此

盗窃始于9月24日，当时Bitget系统发现其热钱包——交易所用于日常运营资金的联网钱包——出现未经授权的转账。Chen表示，攻击者入侵了后台系统并伪造交易数据，而非窃取私钥。Bitget表示其保护基金覆盖了损失，客户余额不受影响。

随后是洗钱环节。TRM Labs发现，攻击者将资金分散到持有整数金额的新钱包中，每个钱包约10,000枚ETH或2,000万枚XRP。较小的部分则经由跨链兑换服务——即在不同区块链之间兑换代币的工具，这会混淆追踪线索——包括Thorchain、Across、Bridgers、Chainflip和FixedFloat。

与此同时，Near Intents说了"不"。总经理Alex Shevchenko于周二表示，其名为SHIELD的筛查系统拒绝了超过5,000万美元与Bitget攻击者相关的兑换。他说，约50.3万美元在兑换过程中被冻结，约16.6万美元漏网。Near表示，被冻结的资金将进入法律和追回程序。

这一决定引发了加密行业围绕"无许可"一词的 familiar 争论——该词意味着任何人无需批准即可使用网络。Near联合创始人Illia Polosukhin认为，这并不要求每个应用处理每一笔交易。平台在一周之内展示了加密行业相互竞争的两种路线：Near选择的应用层筛查，或Thorchain坚持的协议必须保持中立。

Thorchain则走向了另一个方向。在Chen公开要求其拒绝为攻击者地址提供服务后，Thorchain在X上发帖称，网络停机是保护协议的应急工具，而非冻结特定资金或兑换的手段。据其开发者介绍，该网络由独立的节点运营商运营，停机需经投票决定，而非由某家公司决定。

A THORChain network halt is an emergency security mechanism designed to protect the protocol.

A halt is not a selective freeze of specific funds or an individual swap.

During the May 2026 exploit that resulted in $10.7M stolen from the liquidity pools, the attackers addresses…

— THORChain (@THORChain) September 28, 2026

显而易见的质疑是，Thorchain此前曾停止过交易。据其自身报告，在5月15日发生1,070万美元漏洞攻击后，其网络停机约五周，直到6月22日才恢复运营。

与此同时，黑客的兑换仍在继续。链上数据显示，周一，数笔总计约2,390枚ETH（约630万美元）的资金通过Thorchain兑换为75.2枚BTC。

接下来，可观察的指标十分明确：是否还有更多ZEC进入Ironwood、悬赏是否能带来成果，以及Near承诺的法律和追回程序能否就被冻结的50.3万美元产生结果。Bitget提供悬赏：任何被冻结资金的5%以及任何被追回资金的5%，法院或执法机构下令的行动除外。