区块链安全公司 BlockSec 追踪了 Bitget 遭黑客攻击后被盗资金的流向，报告称约 3.875 亿美元资金经由 Bitcoin、THORChain 跨链协议以及一项被识别为 CoinJoi 的服务转移。此次追踪描绘出大规模交易所盗窃案中日益常见的混淆路径：转换链上资产、跨链兑换，然后打散资金踪迹。

BlockSec 追踪揭示了什么

根据 BlockSec 公布的分析，被盗的 Bitget 资金并未闲置。攻击者将资产转换为 Bitcoin，利用 THORChain 作为跨链路由层，并使资金经过 CoinJoi。每一个步骤都在切断原始盗窃行为与任何最终变现尝试之间的链上关联。
THORChain 支持无需封装代币或中心化跨链桥的原生跨链兑换，使其成为在链间转移价值的有效技术工具。攻击事件发生后，THORChain 治理层否决了将 Bitget 黑客地址列入黑名单的提案，这一决定引来以太坊联合创始人 Vitalik Buterin 的评论，并加剧了关于去中心化协议是否应承担过滤被盗资金责任的争论。这场争论处于更长的监管脉络之中：2022 年，美国财政部外国资产控制办公室（OFAC）因比特币混币器 Blender.io 和基于以太坊的混币协议 Tornado Cash 被用于洗白黑客赃款而对其实施制裁，这些行动引发了关于制裁能在多大程度上延伸至开源、无需许可协议的持久法律争论。

另一方面，区块链分析公司 AMLBot 发现了其中较小的一部分资金流：Bitget 遭攻击事件中的 4 BTC 被追踪至 Wasabi CoinJoin，这是一款通过混合交易来模糊输入输出关联的比特币隐私工具。BlockSec 追踪中提及的 CoinJoi 可能与这一混币活动有关，但该研究简报并未确认 CoinJoi 与 Wasabi CoinJoin 指的是同一服务，还是链上的不同环节。

追踪分析的能力边界

追踪只能确认已被观察到的资产流动，并不能确定资金的最终去向。BlockSec 公布的分析显示了资金的流转路径，但无法说明资金是否已被追回、被交易所冻结或兑换为法定货币。这些问题取决于路径中的中心化服务是否与调查人员合作。这也正是追踪分析具有可操作价值的原因：其实际意义在于识别资金仍可被拦截的关键节点，而路径中无需许可的部分则基本上不受任何单一方的控制。

并非所有被盗资金都未经阻拦地进入了匿名协议。NEAR Intents 报告拦截了约 5000 万美元的 Bitget 遭攻击相关资金流，这是已报告资金路径中规模最大的一次拦截。其余大部分的 3.875 亿美元则继续经由无法干预或各方拒绝干预的渠道转移。

Bitget 本身在事件发生后开始恢复用户对资金的访问权限。在黑客通过 THORChain 兑换 ETH 之后，比特币提现已恢复，以太坊提现也将随之跟进。这一顺序表明，在攻击者已将以 ETH 计价的被盗部分转移出平台之后，Bitget 优先恢复了 BTC 流动性。

该资金路径对链上取证的启示

Bitcoin–THORChain–CoinJoi 的路径与其他重大交易所盗窃案中出现的模式如出一辙：利用无需许可的跨链协议在链边界处切断资产踪迹，随后通过混币步骤打散比特币 UTXO。对链上取证团队而言，这种组合要求至少跨越两条链进行分析，并采用概率性 UTXO 聚类方法，而非简单的地址跟踪。

如果 3.875 亿美元这一数字准确，此次事件将成为近期规模较大的单所盗窃案之一。BlockSec 的追踪是关于资金流向的最早公开记录，但最终有多少资金能被追回、冻结或洗白，仍有待未来数周和数月内交易所与分析公司的进一步披露。尚待解答的问题包括：路径中的其他服务是否会采取冻结资金的行动，以及此次拒绝列入黑名单的治理决定是否会令无需许可的跨链基础设施再度受到监管关注。

免责声明：本文仅供参考，不构成任何财务或投资建议。加密货币和数字资产市场存在重大风险。在做出决策前，请务必自行研究。