Bitget被盗事件中的XRP已不再停留在最初落地之处。据CoinDesk审查XRP Ledger记录发现，截至9月26日12:41（UTC），约有5400万XRP已离开用于存放Bitget被盗资金的五个原始账户。两个最初各持有2000万XRP的账户余额分别降至约23枚和55枚XRP，第三个账户仍持有约580万XRP。

这五个原始账户中仍留有约4900万XRP，当时价值接近7500万美元。该数字仅计算原始托管账户：离开这些账户的资金仍可能处于攻击者在新创建钱包的控制之下，且仅凭账本数据无法判断被转移的供应量中有多少仍在攻击者掌控范围之内。链上的核心问题在于，这些XRP最终是否会进入一个能够识别并阻止其控制者的服务。

五个原始钱包仅显示第一阶段

要理解830万美元这一数字实际衡量的是什么，有必要将最初的盗窃与后续的重新分配区分开来。公开区块链记录显示，9月24日，约1.03亿XRP从两个与Bitget关联的XRPL账户流出，到达地址rwNhefsz1UQEusxhCvHip3RANinWi4CTck。Arkham已将该地址归入其“Bitget Hacker”实体。随后，资金被分散至五个托管账户。

这种两阶段模式——先归集、后重新分配——是交易所遭攻击后常见的洗钱形态，它划定了公开账本数据能够证明与无法证明的界限。资金的分散确认了XRP最初去向。但仅凭这一点，无法证明后续每个地址是属于同一操控者、洗钱中介还是交易所客户。将每笔转账都称为“套现”会夸大证据。攻击者控制的钱包之间的转移本身并不会产生新的抛售压力；只有当资金路径到达中心化交易所、场外交易台、即时兑换服务或其他能够将XRP转换为其他资产或法币的网关时，售才成为具体的风险。

Ripple无法冻结原生XRP余额

这一限制根植于XRP Ledger对其原生资产的处理方式。XRP不是发行型代币，没有可以拉黑账户的发行方。XRPL文档指出，冻结功能适用于通过信任线持有的发行型代币，而不适用于XRP本身。因此，Ripple、XRPL基金会和验证节点均无内置权限将这些原生XRP账户标记为冻结状态，且在账本现行规则下，持有足够XRP的账户所发起的正常支付依然有效。

可追溯不等于可控。XRP Ledger将每笔转账公开，但这种透明度并未赋予Ripple没收或锁定他人账户中原生XRP的权力。

同一事件中稳定币部分的情况形成了鲜明对比。据CoinDesk报道，Circle和Tether已冻结与该事件相关的约32万美元USDC和USDT。这些资产具备发行方层面的拉黑控制机制，而原生XRP没有。正是这种不对称性，导致同一事件的两部分走上了截然不同的追回路径。

关键干预点是交易所充值环节

一旦XRP到达交易所控制的地址，问题就从协议规则转向托管控制。交易所可以将带标签的XRP充值关联到客户账户，暂停提现或交易，保留记录并配合调查人员。在这一阶段，结果取决于平台自身的控制措施，而非账本规则。

这一区别在XRP Ledger上尤为重要，因为大型交易所通常使用共享充值钱包。目的地标签（destination tag）告知交易所哪一笔内部客户账户应接收付款。标签本身并非个人身份的公开证明，但它为平台提供了一个将链上充值与自身客户记录进行匹配的切入点。

9月25日的一项公开XRPL分析追踪到一条从原始托管账户经中转地址通往Binance和MEXC充值基础设施的路径。这并不能证明这些交易所接收或入账了所有后续转账，在没有公开确认的情况下，也不应称这两个平台已冻结资金。但它确实说明了为何在大额余额到达出口之前，链上警报至关重要。

托管账户正在快速清空

由于原始托管账户正在快速清空，交易所检查点变得愈发紧迫。据CoinDesk审查，9月26日04:32（UTC）时，这些账户持有约7000万XRP；约八小时后，余额降至约4900万XRP。另一个明显细节是，一个账户因资金不足而未能转出约52.1万XRP，约一小时后，另一个账户向预定收款方转出了相同的金额。

这一模式印证了资金正在被积极重新分配的结论。但它无法确定每笔转账的原因、某个特定钱包是否属于洗钱服务，以及有多少XRP已进入市场。这些问题需要账本以外的证据。

账本上仍可观察到的信息是具体的：托管账户后续资金流出的速度、剩余余额的规模，以及是否有任何目标地址与已知的交易所充值基础设施相匹配。

决定性的时刻不是匿名钱包之间的下一笔，而是可追溯的XRP余额首次进入一个知晓账户控制者身份、并能阻止资金再次流出的服务的那一刻。

本文仅供信息参考，不构成财务、投资或法律建议。随着调查的继续，链上余额、钱包标签和交易所行动可能迅速变化。