Bitget 漏洞事件中的 XRP 已不再停留在最初落腳之處。CoinDesk 的審查發現，截至9月26日12:41 UTC，約有5,400萬枚 XRP 已離開原本用於存放 Bitget 贓款的五個原始帳戶。兩個起初各持有2,000萬枚 XRP 的帳戶已分別減少至約23枚和55枚，另一個帳戶則仍持有約580萬枚 XRP。

當時價值接近7,500萬美元的約4,900萬枚 XRP 仍留在最初五個帳戶中。該數字僅計入原始保管帳戶：離開這些帳戶的資金仍可能位於攻擊者新建立的錢包中並受其控制，而僅憑帳本本身無法顯示已轉移的供應量中有多少仍在攻擊者的掌控範圍內。鏈上的核心問題在於，這些 XRP 最終是否會抵達一個能夠識別並阻止控制者的服務。

五個原始錢包僅顯示第一階段

要理解8,300萬美元這個數字實際衡量的是麼，有助於將最初的竊取與後續的重新分配區分開來。公開區塊鏈紀錄顯示，9月24日約有1.03億枚 XRP 從兩個與 Bitget 相關的 XRPL 帳戶轉出，抵達地址 rwNhefsz1UQEusxhCvHip3RANinWi4CTck。Arkham 已將該地址歸入其 Bitget Hacker 實體。隨後資金被分散至五個保管帳戶。

這種兩階段模式——先集中、後分散——是交易所遭入侵後洗錢的常見形態，也劃出了公開帳本資料能夠證實與無法證實的事項之間的界線。這次分散確認了 XRP 最初的去向，但單憑這一點無法顯示每個後續地址是屬於同一操作者、洗錢中介還是交易所客戶。將每一筆轉帳都稱為「變現」會過度誇大證據。攻擊者控制的錢包之間的轉移本身並不會產生新的賣壓；只有當路徑抵達中心化交易所、OTC 檯、即時兌換服務或其他能將 XRP 轉換為其他資產或法定貨幣的閘道時，拋售才成為具體風險。

Ripple 無法凍結原生 XRP 餘額

這項限制源自 XRP Ledger 對其原生資產的處理方式。XRP 不是發行型代幣，沒有可將帳戶列入黑名單的發行方。XRPL 文件指出，凍結功能適用於透過信任線持有的發行型代幣，而非 XRP 本身。因此，Ripple、XRPL 基金會和驗證節點均無內建權限將這些原生 XRP 帳戶標記為凍結，在帳本現行規則下，持有足額 XRP 的帳戶所發出的正常付款仍然有效。

可追蹤性不等於控制權。XRP Ledger 使每筆轉帳公開透明，但這種透明度並未賦予 Ripple 沒收或鎖定其他帳戶所持原生 XRP 的權限。

同一事件中的穩定幣部分則呈現明顯對比。CoinDesk 報導稱，Circle 和 Tether 已凍結與該事件相關的約32萬美元 USDC 和 USDT。這些資產具備發行方層級的黑名單控制，而原生 XRP 則沒有，這種不對稱性正是同一事件的兩個部分在追回路徑上如此不同的原因。

關鍵干預點是交易所入金

一旦 XRP 抵達交易所控制的地址，問題就從協議規則轉向託管控制。交易所可以將帶有標籤的 XRP 入金與客戶帳戶關聯，暫停提款或交易，保存紀錄並配合調查人員。在這個階段，結果取決於平台自身的控制措施，而非帳本規則。

這種區分在 XRP Ledger 上尤其重要，因為大型交易所通常使用共享入金錢包。目的地標籤（destination tag）會告知交易所哪個內部客戶帳戶應接收付款。該標籤並非個人身份的公開證明，但它創建了一個節點，使平台能夠將鏈上入金與自身的客戶紀錄進行比對。

9月25日的一項公開 XRPL 分析追蹤到一條路徑，從原始保管帳戶經由中間地址流向 Binance 和 MEXC 的入金基礎設施。這並不能證明這些交易所接收或記帳了所有後續轉帳，在未有公開確認之前，也不應描述任何平台已凍結資金。它確實說明了為什麼在巨額餘額抵達出口之前，鏈上警報至關重要。

保管帳戶正迅速清空

交易所這一關卡正變得更加緊迫，因為原始保管帳戶正在快速流失。據 CoinDesk 的審查，這些帳戶在9月26日04: UTC 時持有約7,000萬枚 XRP；約八小時後，餘額已降至約4,900萬枚 XRP。另一個明顯的細節是，一個帳戶因資金不足而未能轉出約521,000枚 XRP，約一小時後另一個帳戶向預定接收方轉出了相同的金額。

這種模式支持了資金正在被積極重新分配的結論。它無法確定每筆轉帳的原因、特定錢包是否屬於洗錢服務，或有多少 XRP 已進入市場。這些問題需要帳本之外的證據才能回答。

仍可從帳本上具體觀察的是：保管帳戶後續流出的速度、剩餘規模，以及是否有任何目的地地址符合已知的交易所入金基礎設施。

決定性的時刻並非匿名錢包之間的下一筆轉帳，而是可追蹤的 XRP 餘額首次進入一個知道帳戶由誰控制、並能阻止資金再次離開的服務之時。

本文僅供資訊參考，不構成財務、投資或法律建議。隨著調查持續進行，鏈上餘額、錢包標籤和交易所行動可能迅速變化