THORChain Binance 洗錢事件令無許可兌換面臨 FBI 壓力

儘管 FBI 提出呼籲，THORChain 仍處理了從 Binance 竊取的資產；在其協助轉移 Bybit 於 2025 年失竊近 10 億美元資金後，事件再次引起審視。THORChain Binance 洗錢爭議的核心，在於一個範圍狹窄卻影響重大的區別：停止整條交易路徑，與封鎖特定攻擊者並不相同。開發者表示，該網絡並沒有選擇性交易控制機制。調查人員則希望可阻止可識別的失竊資金繼續流動。

《華爾街日報》引述 Chainalysis 報道，THORChain 營運者從涉及 Bybit 失竊資金的交易中，至少賺取了 1,200 萬美元。其最新調查把這段歷史，與經同一基礎設施流動的 Binance 資金收益連結起來。這些數字描述的是已報道的犯罪資金流及相關收入，並非證明每名基礎設施參與者都明知而協助攻擊者。

眼前的衝突，是無許可存取——即毋須營運者批准即可參與——與阻斷失竊資產流動的行動之間的角力。Binance、調查人員及基礎設施營運者在這場衝突中各自面對不同壓力。核心問題很實際：現有系統可支援何種干預、誰可授權，以及誰要承擔後果？

THORChain Binance 洗錢事件沿用熟悉路徑

《華爾街日報》由 Mint 轉載的調查，描述了一宗大型交易所失竊案，再次遇上為開放存取而設計的基礎設施。根據其失竊資金調查，THORChain 在 72 小時內處理了超過 4,600 萬美元、來自 Binance 的資金。Chainalysis 估計，這些交易產生了超過 20 萬美元的費用。

這些金額必須審慎解讀。它們反映的是早期報道時段，而非其後轉移的完整統計。它們亦區分了經服務流動的資產，與該活動帶來的收入。若把交易量視作利潤，便會誇大基礎設施參與者實際所得。

關鍵變化在於：調查人員明確要求干預後，一條已知的轉換路徑仍被再次使用。

THORChain 支援跨鏈兌換，即在不同區塊鏈上記錄的資產之間進行交易。區塊鏈是由電腦網絡維護的共享交易帳本。在此情況下，相關功能是把失竊資產轉換為其他加密貨幣，而毋須在傳統交易所開設帳戶。

這項功能提供了正當的互操作性，但亦為調查人員增加一個失竊資產可改變形態的環節。即使資產屬於不同網絡，流入資產與流出資產仍可透過交易證據連結起來。

Bybit 的先例，令最新事件更難被視為意料之外的邊緣個案。《華爾街日報》報道，該次失竊案中近 10 億美元資金曾經 THORChain 流動。其歸因於 Chainalysis 的費用估算，描述了與該等交易相關的經濟收益。

這段歷史提出一個問責問題，但並未解答所有法律或技術問題。一個系統可處理有害活動，而毋須每名參與者都抱持攻擊者的目的。然而，重複使用會讓營運者及開發者有更充分理由，精確說明其控制措施。

時序同樣重要。首批 Binance 交易、警告的發布、暫時中斷及後續活動，分屬不同時間點。單一累計交易數字，無法確立任何參與者在特定兌換發生時知道甚麼、何時得知。

對讀者而言，有用的區別在於失竊本身與其收益其後的流動。THORChain 參與轉換，並不能證明它要為最初的入侵承擔責任；但這確實令網絡的回應成為資金追討事件的一部分。

已報道的費用使問題更尖銳，因為持續處理交易會帶來經濟後果。不過，與犯罪交易相關的收入，應清楚歸因並受消息來源的方法學所限。它絕不應成為對每名運行該網絡人士提出無根據指控的簡寫。

FBI 的要求延伸至交易所以外

FBI 把 Binance 失竊案歸因於其稱為 TraderTraitor 的北韓活動。其公開通告指襲擊約發生於 2026 年 10 月 29 日，並稱有超過 60 億美元被盜。這一歸因仍屬該局評估；北韓否認涉案。

該局的交易封鎖要求明確包括 THORNode 營運者，即運行 THORChain 網絡軟件的參與者。通告亦針對交易所服務、基礎設施供應商及區塊鏈分析公司。該要求涵蓋涉及所列地址及由其衍生資金的交易。

調查人員正向轉移收益的基礎設施施壓，同時亦向最初失去資金的交易所施壓。

這種措辭帶來的營運問題，比檢查客戶錢包是否出現在清單上更棘手。地址是用作接收或發送資產的識別符。資金可在離開最初識別出的地址後繼續流動，同時保留與失竊案的關聯。

判斷該關聯需要分析。由已識別攻擊者地址直接轉出的資金，與經過多名中介的資產，涉及不同的證據問題。可信的回應必須區分這些情況，而非把每種關聯都視為同樣具決定性。

對 Binance 的壓力，集中於資金追討、客戶信心，以及交代最初的入侵事件。對 THORChain 參與者的壓力，則關乎持續處理交易及可用以中斷交易的控制措施。這些責任有所重疊，但不可互換。

對基礎設施營運者而言，該要求亦挑戰了對分散式系統的一項熟悉假設。沒有傳統帳戶部門，並不妨礙調查人員要求可識別的參與者採取行動。特定參與者是否具備技術能力或法律義務遵從，則需要另行評估。

該公開通告本身並未確立每名收件人均已違法，亦未解決司法管轄權、意圖、控制權或各項服務的分類問題。這些問題需要有關特定行為者及行為的證據。

實際障礙是，調查人員希望在多個干預能力各異的系統中達致某個結果。中心化交易所控制自己的客戶帳戶；分散式兌換網絡則由遵從共享軟件規則的營運者協調活動。

這項差異影響回應時間及可用補救方法。交易所可在其組織內審視客戶關係；協議變更則可能需要獨立參與者之間的同意、實施、測試及採用。

不過，說協調困難，並不能決定是否存在任何較狹窄而可行的措施。調查人員可合理地詢問現有控制措施、其運作速度及影響範圍。營運者亦可合理要求釐清所要求的行動及其後果。

因此，THORChain Binance 洗錢爭議不止於一項合作要求。它考驗合作是否意味分享證據、限制存取、暫停交易、修改軟件，還是上述行動的組合。這些行動帶來不同成本，應分別評估。

網絡停擺不同於封鎖地址

THORChain 最有力的技術辯護，涉及其現有控制措施的範圍。在 10 月的一次討論中，貢獻者表示，該協議沒有選擇性拒絕個別錢包或交易的機制。其交易審查立場亦為毋須基於身分批准的存取方式辯護。

這個立場結合了架構上的主張與政策偏好。架構主張關乎已部署軟件目前支援甚麼；政策偏好則關乎營運者是否應引入基於身分的限制。支持前者的證據，並不會自動定論後者。

大範圍停擺可中斷失竊資金，卻同時令正當用戶受到相同干擾。

THORChain 的網絡暫停控制措施記錄了多種中止運作的方法。營運者可停止涉及某條區塊鏈的交易、暫停外發簽名，或停止更廣泛的活動。這些控制措施影響的是操作類別，並非選擇性封鎖攻擊者地址的篩選器。

簽名是以密碼學方式授權一項外發交易。暫停該步驟，可令轉移停留在等待狀態，而非正常完成。交易暫停影響兌換能否繼續；更廣泛的鏈暫停，亦會改變系統觀察所連接網絡的方式。

這些區別意味着，「它可以停止轉移」並不足以完整描述情況。接下來的問題是哪些轉移會停止，以及其他所有人會怎樣。暫停整條路徑的控制措施，不能被假定可對單一犯罪者作出精確干預。

試想一名正當用戶正在兌換資產，而攻擊者亦使用同一路徑。全路徑暫停會影響兩筆交易。這個後果不代表干預必然錯誤，但確實造成了選擇性限制本可避免的成本。

相反的簡化說法同樣不完整。說協議無法把某個地址列入黑名單，並不代表它完全沒有任何營運控制能力。現有的暫停機制顯示，它能在既定條件下中斷活動。

真正的分歧在於何時應套用這些機制。保護網絡免受內部故障，與維持其運作有直接關係；中斷在其他地方被盜的資產，則引入外部證據、權限、範圍及持續時間等問題。

THORChain 貢獻者認為，基於交易作道德判斷，會在一個以一致規則為設計核心的系統中產生酌情權力。這項憂慮值得實質討論。干預機制可影響原有個案以外的用戶，尤其是在其準則仍不清晰時。

批評者可以接受這些設計考量，同時質疑由此產生的損害分配。若大範圍控制措施是唯一可用選項，受害者便要承擔讓活動不受中斷地繼續進行的後果；而當營運者暫停該路徑時，正當用戶則要承擔其後果。

這正是本文的核心取捨。精確度、速度、可用性及抵抗酌情控制，並不會自動一致。評估回應時，必須指出哪個目標應優先，並識別由此帶來的成本。

對擬議的軟件變更，也需要同樣具體的審視。審查者需要了解由誰提供地址資訊、如何更正錯誤，以及參與者能否繞過限制。宣布有意介入，遠不足以等同已部署並經獨立審查的能力。

兌換可減少凍結選項，但不會抹去證據

攻擊者選擇的目標資產，有助解釋兌換時機為何重要。穩定幣是旨在追蹤某種參考資產（通常為美元）的代幣。部分穩定幣發行方保留控制權，可限制與特定地址相關的代幣。

Bitcoin 和 ether 沒有同等的、由發行方運作的地址凍結機制。轉入這些資產會改變可用的介入點，但不會自動移除交易紀錄，也不保證攻擊者可自由動用所得資金。

CoinDesk 在 11 月 4 日的報道描述，交易恢復後，涉及 THORChain 的跨鏈洗錢。報道指，較早前在 10 月 31 日曾因 Ethereum 區塊重組及退款故障而中斷。區塊重組是指取代區塊鏈近期已接受交易紀錄的一部分。

營運中斷可拖延洗錢，但不等同為阻止被盜資產而制定的蓄意政策。

這次中斷具有參考價值，因為它顯示暫停的原因為何重要。因應帳務問題的安全機制，與拒絕犯罪所得的決定並不相同。觀察到同樣的即時效果，並不能證明存在相同的政策、權限或預期結果。

與 Tether 和 Circle 的比較亦具啟示。這些穩定幣發行方與 THORChain 所處的位置不同，因為它們管理自身的代幣。它們限制這些代幣的能力，並不代表可控制所有透過兌換而收到的加密貨幣。

對調查人員而言，這使兌換環節變得緊迫。兌換前可採取的介入措施，兌換後可能不再可用。其他機會仍可能存在，尤其當資產其後進入能識別客戶或限制帳戶的服務時。

在整個過程中，公開可見性仍具價值。即使網絡無法逆轉已記錄的轉帳，該轉帳仍可支持調查。重建事件經過的能力，與追回財產的能力，是兩種不同的能力。

Elliptic 持續更新的 Binance 資金分析說明了這個分別。其 11 月 9 日更新描述了大量資金流動，同時評估僅極少部分或已套現。這項評估屬分析估算，而非對所有最終受益人的完整盤點。

套現是指把加密貨幣轉換成傳統貨幣，或透過其他渠道變現為可動用收益。資金到達新錢包，並不證明這一步已發生；把一種加密貨幣轉換為另一種亦然。

這個分別可避免一個看似合理但具誤導性的結論：完成兌換不一定意味調查人員已永久失去追蹤線索。它可能減少即時凍結選項，同時保留可支持日後識別、干擾或追回資產的證據。

相反，可見的資金軌跡並不保證能夠追回資產。調查人員仍需要可行的介入點、可用的歸因資訊，以及在適用情況下所需的合作。透明度提供證據，卻不會帶來資產的持有權。

對把兌換功能整合至應用程式的開發者而言，這個差異直接影響產品設計。交易紀錄畫面可顯示發生了甚麼，卻未必提供逆轉機制。用戶需要在事故迫使他們自行發現前，獲得對這項界線的準確說明。

同一原則亦適用於緊急訊息。應用程式應區分延遲處理、交易不可用、疑似涉及非法活動，以及已完成的轉帳。把這些情況統統歸入一般故障訊息，會掩蓋用戶評估自身情況所需的資訊。

費用加強審視，但不能確定責任

據報的 Bybit 費用，解釋了為何這場爭議超出有關軟件能力的技術討論。犯罪用途可在同時服務合法客戶的基礎設施內產生收入。即使交易處理遵循標準化規則，這亦引發激勵問題。

費用收入是與激勵有關的證據，但本身不能證明意圖或法律責任。

《華爾街日報》基於 Chainalysis 的估算，屬於特定歷史事件及會計範圍。它不應隨意與較早的全網活動快照合併比較。總交易量、已識別的被盜資產、費用，以及特定參與者收到的收益，衡量的是不同事物。

攻擊者可透過多筆交易轉移同一經濟價值。如把每筆轉帳相加而不考慮重複計算，便可能高估所涉及的實際資產。同樣地，繁忙期間錄得的收入，也不能自動全部歸因於犯罪活動。

審慎評估會追問估算涵蓋甚麼。它衡量的是協議收費、向基礎設施營運商支付的報酬、介面收入，還是多個類別？這些分別會影響經濟分析及對受益人的識別。

它們亦會影響跨時比較。短暫觀察期得出的總額，可能不同於較後的回溯調查。差異不一定證明任何一項估算錯誤，但在就增長或盈利能力作出結論前，必須予以解釋。

針對 THORChain 的質疑，聚焦於其「不可能」說法的範圍。一項關於缺乏選擇性控制的聲明，在技術上可能比公眾所理解的「完全不可能介入」更狹窄。既有的廣泛暫停機制，使這個分別成為核心問題。

針對批評者的質疑，則關乎所提補救措施。要求介入，比具體說明一項有效且合乎比例的控制措施容易得多。可信的建議必須處理無辜用戶、錯誤歸因、營運延誤，以及資金轉往其他地方的可能性。

兩個問題並不互相抵銷。代價高昂的補救措施，不能抹去持續處理所造成的傷害；嚴重傷害亦不能證明每一項擬議補救措施都能如預期運作。

更廣泛的問題是，系統的回應是否符合圍繞它所建立的期望。用戶可重視開放存取，同時仍希望清楚了解緊急權限。基礎設施參與者可為有限度酌情權辯護，同時承認該設計帶來的後果。

對企業買家而言，這成為依賴關係問題。建立於第三方兌換服務之上的服務，會承受底層路徑帶來的營運及聲譽風險。整合決策應考慮該路徑在內部故障及外部犯罪調查期間如何運作。

開發者亦面對相關的文件說明問題。「去中心化」或「非託管」等說法，未能完整描述緊急情況下的行為。非託管一般指用戶無須把資產交由傳統帳戶託管人保管，但實作細節仍決定營運依賴關係。

有用的文件會列明控制界線，包括誰可暫停運作、哪些活動會暫停、如何恢復，以及用戶在中斷期間可預期甚麼。這些細節令架構承諾可被檢視。

THORChain Binance 洗錢案件揭示了把這些界線說得含糊的代價。受害者聽到的是拒絕，開發者描述的是缺失的能力，而營運者則面對有關控制措施及其廣泛影響的壓力。精確說明未必能消除分歧，卻能令分歧變得可以回應。

留意控制措施、追回證據及正式執法

未來數月應以可觀察的發展來評估，而非以去中心化或執法已勝出的宣言作判斷。三項訊號最為重要：控制措施的變更、可追回資產的證據，以及點名負責參與者的正式行動。

決定性證據將涉及參與者作出的改變，以及調查人員追回的資產。

首先，應留意 THORChain 有否提出具體建議或部署變更，以處理已識別的非法資金。單純討論的證明力，低於已採納的實作。最有力的證據會說明控制措施的範圍，並顯示營運者如何使用它。

選擇性限制將收窄目前有關能力不可用的爭議。持續依賴廣泛暫停，則會保留介入與服務可用性之間的取捨。任何結果都應按實際部署而非宣傳描述來評估。

相關問題包括誰有權批准限制，以及爭議個案如何獲得覆核。地址清單只是其中一項輸入資料；其來源、更新程序和更正機制，決定了由此形成的控制措施能否可預測地運作。

第二，應留意更新後的追蹤及追回評估。分析人員應區分仍與攻擊者有關聯的資產、被發行方限制的資產、已完成的兌換，以及被認為已進入套現渠道的收益。這些類別回答的是有關調查進展的不同問題。

較大的追蹤餘額，並不自動代表追回情況有所改善；較小的可見餘額，亦不自動證明成功套現。方法論和不確定性，與標題數字同樣重要。

若有證據顯示大部分收益仍可識別，將支持公開交易分析持續具價值的說法。經核實的追回行動，則會提供更有力的實際介入證據。完成套現的證據，將加強對早期本可採取行動之環節的審視。

第三，應留意點名特定行為者及行為的正式執法發展。公開呼籲反映優先事項，但法院文件或官方行動可提出更精確的指控。任何此類發展，都應根據其實際主張及支持證據來評估。

日後針對介面提供者的行動，將引發與針對網絡營運者不同的問題。涉及控制、協調或知情的主張，均需要各自的證據基礎。讀者不應把每種基礎設施角色都視為等同。

這些訊號亦有助評估 THORChain 立場的持久性。更清楚的控制文件將加強其技術說明；已記錄能力與公開聲明之間如有未解釋的落差，則會削弱對該說明的信心。

對於追蹤 THORChain Binance 洗錢事件的讀者，調查應清楚區分資金流動、控制權及追回情況。比較不同日期的發現，而非將各個時間點的數據合併為一個不加區分的總額。應問清楚：所報道的介入措施影響的是錢包、交易路線、介面，還是整個網絡。開發者及服務採購方應在下一宗事件發生前，檢視每一項兌換依賴服務的緊急應對行為。識別誰可以採取行動、其行動會中斷甚麼，以及用戶如何獲得準確更新。然後追蹤三項具體訊號：已部署的控制措施、可追回的款項，以及正式執法行動。哪些參與者能證明，其所聲稱的責任與其實際運作的控制措施相符？