美国联邦调查局（FBI）已确认朝鲜是币安超过60亿美元资金被盗事件的幕后黑手。在其10月31日的公告中，该机构将此次攻击归因于其所追踪的TraderTraitor活动，为长期以来笼罩此案的朝鲜责任问题画上了句号。

为什么请求发往基础设施层

FBI、特勤局及国税局刑事调查部门（IRS Criminal Investigation）呼吁THORNode运营商、RPC运营商、闪兑平台、DeFi服务、分析公司及其他虚拟资产服务商拦截与其公布的地址相关的交易。据这些机构称，被盗资产正主要被兑换为ETH，预计后续洗钱将通过DeFi和闪兑服务进行。

正是这种兑换解释了为何请求范围如此之广。稳定币发行方可以冻结自己发行的代币，部分赃款已在数小时内以这种方式被冻结。而ETH没有可以联系的发行方。一旦攻击者将价值转移至ETH，能否阻止资金流动就取决于资金接下来经过的服务商。

地址清单只是起点。FBI描述称，所列钱包目前持有或曾经持有被盗资产，并由TraderTraitor行为者运营或与其密切相关。部分钱包可能早已被清空。每家服务商仍需根据自身角色判断自己能做什么、能做多少。

“拦截”的五种含义

干预手段从最弱到最强排列，只有最后一环才能真正追回资金：

1. 追踪。 分析公司绘制资金流向图谱并向其他方发出警报——提供信息，而非控制。
2. 拒绝连接。 RPC提供商或应用界面在自己的服务上拒绝来自被标记地址的请求。
3. 暂停协议。 诸如THORChain之类的网络可以暂停交易或整条链，停止所有人的交易，而不仅是攻击者的交易。
4. 托管冻结。 实际持有资产的交易所或托管机构拒绝访问这些资产。
5. 返还资金。 被确认的资产被实际转移回去。

每一环需要不同的证据。拒绝连接只能说明一家服务商说了“不”。暂停说明活动被中断了一段时间。托管冻结说明资产被持有，等待法律程序。只有资金返还才能证明追回。请求中提及的服务商处于不同环节：分析公司负责追踪，RPC运营商和应用界面负责拒绝，协议运营方可以暂停，托管机构负责冻结。

拒绝连接

正如以太坊的JSON-RPC文档所解释的，应用程序通过节点（通常由RPC提供商运营）访问以太坊，以读取数据或发送交易。提供商可以拒绝经过其服务的请求，但网络规则不会改变。广播、区块打包和最终确认是相互独立的阶段，被一家提供商拒绝的交易仍可通过另一家发送。对于限制自身界面但底层协议仍在运行的网站，道理同样适用。

暂停协议：THORChain的立场

FBI直接点名了THORNode运营商——即运行THORChain网络的运营方——这使THORChain的设计受到审视。在币安失窃案发生之前的10月1日发文中，该项目表示其协议出于安全考虑可以暂停一条链或整个网络，但无权取消单笔兑换。其10月23日的季度报告重申了这一立场。

该项目的开发者文档描述了多种暂停类型，从停止交易到停止对外签名再到暂停整条链。任何一种都会影响到该路径上的所有用户，而不仅是攻击者。

一次意外已经展示了计划外中断是什么样子。10月31日，Chainalysis表示，一次以太坊区块重组导致THORChain向一位存入10 ETH的用户重复退款，无意中延迟了币安被盗资金的洗钱进程。那是一次操作故障，而非蓄意限制——而且被延迟的资金并不等于被追回的资金。

THORChain无意中延迟了大量币安被盗资金的洗钱进程。原因是什么？一次以太坊重组。今天早上发生的一次重组导致THORChain错误地向一位存入10 ETH的用户重复退款。这触发了THORChain的“紧急暂停”，阻止所有用户——包括朝鲜的洗钱者——使用跨链兑换。在服务恢复上线之前，无论是黑客还是其他任何人都无法通过THORChain的大多数跨链桥进行兑换。

— Chainalysis (@chainalysis) 2026年10月31日 — 发布于X

托管冻结

最强有力的控制点是实际持有资产的企业。ETH没有发行方黑名单，但为客户持有被盗ETH的交易所或托管机构可以锁定该账户。在适用制裁的情况下，OFAC指南要求持有被封锁虚拟货币的美国人拒绝访问这些资产，并遵守持有和报告规则。FBI的警报只是一项请求，并非制裁指定或法院命令，因此每个持有方仍需具备自身行动的法律依据。

什么才算进展

值得认真对待的进展通报应明确列出服务商、所采取的行动、受影响的资产以及发生时间。一项得到确认的限制措施表明攻击者的路径正在收窄。托管冻结表明资产被持有。只有有据可查的资金返还才能证明资金正在回流——而这一数字最终将衡量60亿美元中究竟有多少真正被追回。

本文仅供参考，不构成任何金融或投资建议。