THORChain Binance 洗钱事件令无许可兑换面临 FBI 压力

尽管 FBI 已提出呼吁，THORChain 仍处理了来自 Binance 的被盗资产；在其被指协助转移 Bybit 2025 年盗窃案中近 10 亿美元资金后，这一情况再度受到审视。THORChain Binance 洗钱争议的核心，在于一个范围不大却影响重大的区别：停止整条交易路径，与拦截特定攻击者并不相同。开发者表示，该网络不具备选择性交易控制功能。调查人员则希望能够阻止可识别的被盗资金继续流转。

《华尔街日报》援引 Chainalysis 的数据报道称，THORChain 运营者从涉及 Bybit 被盗资金的交易中至少获得了 1,200 万美元收入。其最新调查将这段历史与通过同一基础设施流转的 Binance 资金联系起来。这些数字描述的是被报道的犯罪资金流及相关收入，并不能证明每一位基础设施参与者都明知并协助了攻击者。

当前冲突将无许可访问——即无需运营方批准即可参与——与阻断被盗资产流转的努力置于对立面。Binance、调查人员和基础设施运营者在这一冲突中面临不同压力。核心问题很实际：现有系统能够支持何种干预、谁可以授权，以及谁来承担后果？

THORChain Binance 洗钱事件沿袭熟悉路径

由 Mint 转载的《华尔街日报》调查，描述了大型交易所失窃案与为开放访问而设计的基础设施之间的又一次交集。根据其被盗资金调查，THORChain 在 72 小时内处理了超过 4,600 万美元来自 Binance 的资金。Chainalysis 估计，这些交易产生了超过 20 万美元的手续费。

这些金额需要谨慎解读。它们反映的是早期报道窗口，而非对后续转移的完整核算。它们也区分了经过该服务的资产与由相关活动产生的收入。将交易量等同于利润，会夸大基础设施参与者实际获得的收益。

关键变化在于，在调查人员明确要求干预后，一条已知的兑换路径再次被使用。

THORChain 支持跨链兑换，即在不同区块链上记录的资产之间进行交换。区块链是由计算机网络维护的共享交易账本。在这里，相关功能是将被盗资产兑换为其他加密货币，而无需在传统交易所开设账户。

这一功能提供了合法的互操作性。但它也为调查人员增加了一个被盗资产可能改变形式的环节。即便所属网络不同，流入资产与流出资产仍可能通过交易证据相互关联。

Bybit 的先例使得最新事件更难被视为意料之外的边缘案例。《华尔街日报》报道称，该起盗窃案中近 10 亿美元资金经过了 THORChain。其归因于 Chainalysis 的手续费估算，描述了与这些交易相关的经济收益。

这段历史提出了问责问题，却无法回答所有法律或技术问题。一个系统可以处理有害活动，而并非每一名参与者都与攻击者抱有相同目的。然而，反复被使用，使运营者和开发者更有必要准确说明其控制措施。

时间顺序同样重要。首批 Binance 交易、警告的发布、临时中断以及后续活动，分别发生在不同时间点。仅凭累计交易数字，无法确定某笔特定兑换发生时，各参与者分别知道什么。

对读者而言，有用的区分是盗窃本身与其收益随后流转之间的差别。THORChain 参与兑换并不能证明其应为最初的入侵负责。但这确实使该网络的应对措施成为资金追回事件的一部分。

被报道的手续费让这个问题更为尖锐，因为持续处理交易会带来经济后果。不过，与犯罪交易相关的收入应始终明确归属，并受制于来源的方法论。它绝不应成为对所有运行该网络者提出无依据指控的简写。

FBI 的请求超出了交易所范围

FBI 将 Binance 盗窃案归因于其称为 TraderTraitor 的朝鲜相关活动。该机构的公开通知称，攻击发生在 2026 年 10 月 29 日前后，涉及超过 60 亿美元被盗资产。该归因仍是 FBI 的评估；朝鲜否认参与其中。

该机构的交易拦截请求明确提及 THORNode 运营者，即运行 THORChain 网络软件的参与者。请求还面向交易所服务商、基础设施提供商和区块链分析公司，涵盖涉及已列地址及由其衍生资金的交易。

调查人员正向负责转移涉案收益的基础设施施压，同时也向最初发生资金损失的交易所施压。

这种表述带来的运营难题，比核查客户钱包是否出现在名单上更复杂。地址是用于接收或发送资产的标识符。资金在离开最初确认的地址后，仍可能与盗窃案保持关联。

确定这种关联需要分析。从已识别攻击者地址直接转出的资金，与经由多个中间方流转的资产，涉及不同的证据问题。可信的应对措施需要区分这些情况，而不是将每一种关联都视为同样确凿。

Binance 面临的压力集中于资产追回、客户信心和对最初安全事件的解释。THORChain 参与者面临的压力则涉及持续处理交易，以及可用于中断交易的控制手段。这些责任存在重叠，但不可互换。

对基础设施运营者而言，这一请求也挑战了关于分布式系统的一项常见假设：没有传统的账户部门，并不妨碍调查人员要求可识别的参与者采取行动。特定参与者是否具备遵从的技术能力或法律义务，需要另行评估。

公开通知本身并不能证明每一位接收方都违反了法律，也无法解决管辖权、意图、控制权或各项服务分类的问题。这些问题需要关于特定行为者及其行为的证据。

实际障碍在于，调查人员寻求在多个干预能力不同的系统中实现同一结果。中心化交易所控制自身的客户账户。分布式兑换网络则在遵循共享软件规则的运营者之间协调活动。

这种差异影响响应时间和可用补救措施。交易所可以在其组织内部审查客户关系。协议变更则可能需要独立参与者之间达成共识、实施、测试和采用。

不过，称协调困难并不能决定任何更有限的措施是否可行。调查人员可以合理询问存在哪些控制措施、它们的运行速度以及影响范围。运营者也可以合理要求明确所请求行动及其后果。

因此，THORChain Binance 洗钱争议不止于是否配合的请求。它检验的是，配合究竟意味着共享证据、限制访问、暂停交易、修改软件，还是这些措施的组合。这些行动承担不同成本，应分别评估。

网络停摆不同于地址拦截

THORChain 最有力的技术辩护涉及其现有控制措施的范围。在 10 月的一次讨论中，贡献者表示，该协议没有选择性拒绝个别钱包或交易的机制。他们的交易审查立场也为无需基于身份批准的访问方式进行了辩护。

这一立场结合了架构层面的主张与政策偏好。架构主张涉及已部署软件当前支持什么。政策偏好则涉及运营者是否应引入基于身份的限制。支持前者的证据，并不能自动决定后者。

全面停摆可以中断被盗资金，却会让合法用户承受同样的中断。

THORChain 的网络停摆控制文档列出了多种暂停运营的方式。运营者可以停止涉及某一区块链的交易、暂停对外签名，或中止更广泛的活动。这些控制会影响某些类别的操作，而不是作为针对攻击者地址的选择性过滤器。

签名是对外发交易进行加密授权。暂停这一环节，可能使转账处于等待状态，而无法正常完成。交易停摆会影响兑换能否继续，而更广泛的链停摆还会改变系统观察所连接网络的方式。

这些区别意味着，“它可以停止转账”并不完整。接下来的问题是，哪些转账会停止，以及其他所有人会发生什么。一项暂停整条路径的控制措施，不能被假定为能够针对单个犯罪者实施精准干预。

设想一名合法用户正在兑换资产，同时攻击者也使用相同路径。对路径范围内的暂停会影响两笔交易。这种后果并不意味着干预本身必然错误，但它会带来选择性限制本可避免的成本。

相反的简化说法同样不完整。称该协议无法将某个地址列入黑名单，并不意味着它完全没有任何运营控制能力。现有的停摆机制表明，它具备在既定条件下中断活动的能力。

真正的分歧在于，这些机制何时应当适用。保护网络免受内部故障，与维持其运行存在直接关联。中断在其他地方被盗的资产，则带来了外部证据、授权、范围和持续时间等问题。

THORChain 贡献者认为，基于交易作出道德判断，会在一个围绕一致规则设计的系统中创造自由裁量权。这种担忧值得实质性对待。干预机制可能影响原始案件之外的用户，尤其是在其标准仍不明确的情况下。

批评者可以接受这些设计顾虑，同时质疑由此产生的损害分配。如果广泛控制是唯一可用选项，那么受害者将承担不间断活动带来的后果；当运营者暂停路径时，合法用户则承担相应后果。

这是本文的核心权衡。精准性、速度、可用性以及抵制自由裁量控制，并不会自动一致。评估应对措施，需要明确哪一项目标优先，并识别由此产生的成本。

拟议中的软件变更同样需要接受具体审查。审查者需要了解由谁提供地址信息、错误如何纠正，以及参与者能否绕过限制。宣布干预意图所能证明的，远不如已部署且经过独立审查的能力。

转换可减少冻结选项，但不会抹去证据

攻击者对目标资产的选择，有助于解释为何兑换时机如此重要。稳定币是旨在追踪某种参考资产（通常是美元）的代币。一些稳定币发行方保留了可限制与特定地址相关代币的控制手段。

比特币和以太币没有同等的、由发行方运营的地址冻结机制。转入这些资产会改变可用的干预点，但并不会自动清除交易历史，也无法保证攻击者能够自由使用所得资金。

CoinDesk 在 11 月 4 日的报道描述了交易恢复后涉及 THORChain 的跨链洗钱。报道提及，此前在 10 月 31 日曾因以太坊区块重组和退款故障而中断。区块重组会替换区块链近期已接受交易历史中的一部分。

运营中断能够延缓洗钱，但不等于形成了阻止被盗资产的蓄意政策。

这次中断之所以相关，是因为它说明暂停的原因为何重要。对账问题触发的安全机制，与拒绝处理犯罪所得的决定并不相同。观察到相同的即时效果，并不能证明存在相同的政策、权限或预期结果。

与 Tether 和 Circle 的比较同样具有启发性。这些稳定币发行方与 THORChain 所处的位置不同，因为它们管理自身发行的代币。它们限制这些代币的能力，并不意味着能控制以兑换方式收到的每一种加密货币。

对调查人员而言，这使得转换环节更具紧迫性。兑换前可采取的干预措施，兑换后可能便不再可用。其他机会仍可能存在，尤其是在资产随后进入能够识别客户或限制账户的服务时。

在整个过程中，公开可见性仍具价值。即使网络无法撤销交易，已记录的转账仍可支持调查。重建事件经过的能力，与追回财产的能力是不同的。

Elliptic 持续更新的 Binance 资金分析体现了这一区别。其 11 月 9 日的更新描述了资金的大规模流动，同时评估认为，可能已套现的金额微乎其微。这一评估是一项分析性估计，而不是对每一名最终受益人的完整清单。

套现是指将加密货币兑换为传统货币，或通过其他渠道实现可支配收益。资金进入新钱包，并不意味着这一步已经发生；将一种加密货币换成另一种也不意味着如此。

这一区别避免了一个看似简单却具有误导性的结论：完成兑换并不必然意味着调查人员永久失去了追踪线索。它可能减少即时冻结选项，但仍会留下支持后续识别、干扰或追回行动的证据。

反过来，可见的追踪线索也不能保证追回资产。调查人员仍需要一个实际可行的干预点、可用的归因信息，以及在适用情况下的合作。透明度提供证据；它并不赋予对资产的占有。

对于将兑换功能整合进应用程序的开发者而言，这一区别会直接影响产品设计。交易历史界面可以展示发生了什么，却不提供撤销机制。用户需要在事件迫使他们发现这一点之前，得到对这一界限的准确说明。

同一原则也适用于紧急信息传达。应用程序应区分处理延迟、交易不可用、疑似涉及非法活动，以及已完成的转账。将这些情况统统归入笼统的故障提示，会掩盖用户评估自身情况所需的信息。

手续费加剧审查，但不能判定责任

据报道的 Bybit 手续费说明，为何这场争议超出了有关软件能力的技术争论。犯罪用途可能会在同样服务于合法客户的基础设施中产生收入。即使交易处理遵循标准化规则，这也会引出激励问题。

手续费收入是与激励相关的证据，但其本身并不能证明意图或法律责任。

《华尔街日报》基于 Chainalysis 的估算，属于特定历史事件和核算范围。它不应被随意与早期有关全网活动的快照合并使用。总交易量、已识别的被盗资产、手续费以及特定参与者获得的收益，衡量的是不同事物。

攻击者可能通过多笔交易转移同一经济价值。若不考虑重复转移便将每笔交易相加，可能会夸大所涉及的基础资产规模。同样，在繁忙时期记录的收入，也不能自动全部归因于犯罪活动。

谨慎的评估会询问该估算包含哪些内容。它衡量的是协议费用、基础设施运营者的报酬、界面收入，还是多个类别？这些区别会同时影响经济分析和受益人的识别。

它们也会影响跨时间比较。短暂的观察窗口可能得出与后来的回溯调查不同的总额。这些差异未必证明任何一项估算为假，但在就增长或盈利能力得出结论前，需要作出解释。

针对 THORChain 的质疑，聚焦于其“不可能”主张的范围。一项关于不存在选择性控制手段的表述，在技术上可能比公众形成的“完全无法干预”印象更为狭窄。现有的广泛暂停机制使这一区别成为核心问题。

针对批评者的质疑，则聚焦于其提出的补救措施。呼吁干预，比明确一种有效且适度的控制措施更容易。可信的方案需要处理无辜用户、错误归因、运营延迟，以及资金转移至其他地点的可能性。

这两个问题并不相互抵消。补救措施代价高昂，并不能抹去持续处理所造成的伤害。伤害严重，也不能证明每项拟议补救措施都能如预期般奏效。

更广泛的问题在于，系统的响应是否符合围绕它形成的预期。用户可以重视开放访问，同时仍希望清楚了解紧急权限。基础设施参与者可以为有限的自由裁量权辩护，同时承认这种设计带来的后果。

对企业买家而言，这成为一个依赖性问题。建立在第三方兑换服务上的服务，会继承底层路径的运营和声誉风险。集成决策应考量该路径在内部故障和外部犯罪调查期间的表现。

开发者面临着相关的文档问题。诸如“去中心化”或“非托管”的说法，并不能完整描述紧急情况下的行为。非托管通常意味着用户无需将资产交由传统账户托管机构保管，但实现细节仍会决定运营依赖关系。

有用的文档应明确控制边界。它应说明谁能暂停运营、哪些活动会暂停、如何恢复，以及用户在中断期间可以预期什么。这些细节使架构承诺变得可评估。

THORChain Binance 洗钱案揭示了让这些边界保持模糊的代价。受害者听到的是拒绝，开发者描述的是缺失的能力，运营者则面对对控制措施及其更广泛影响的压力。精确的说明不会消除分歧，但会让分歧变得可以回应。

关注控制措施、追回证据与正式执法

未来数月应依据可观察的发展，而非“去中心化”或“执法”何者已胜出的宣称来评判。最重要的三项信号是：控制措施的变化、可追回资产的证据，以及识别责任参与者的正式行动。

决定性证据将涉及参与者作出的改变，以及调查人员追回的资产。

首先，关注 THORChain 针对已识别非法资金提出的具体方案或已部署的变更。单纯讨论所能证明的，远少于已采纳的实施方案。最有力的证据应说明控制措施的范围，并展示运营者如何使用它。

选择性限制将缩小当前围绕能力不可用的争论。继续依赖广泛暂停，则会保留干预与服务可用性之间的权衡。无论哪种结果，都应依据实际部署情况，而非宣传性描述来评估。

相关问题包括：由谁授权实施限制，以及争议案件如何获得审查。地址清单只是一个输入。其来源、更新流程和纠正机制，决定了由此产生的控制措施能否可预测地运行。

其次，关注更新后的追踪和追回评估。分析人员应区分仍与攻击者有关联的资产、被发行方限制的资产、已完成的转换，以及被认为已进入套现渠道的收益。这些类别回答的是有关调查进展的不同问题。

被追踪到的余额增加，并不自动意味着追回情况改善。可见余额减少，也不自动证明已经成功套现。方法论和不确定性与标题中的总额同样重要。

有证据表明大量收益仍可识别，将支持公开交易分析持续具有价值这一判断。经核实的追回将提供更有力的实际干预证据。已完成套现的证据，则会加剧对早期行动可能在哪些环节进行的审查。

第三，关注点名特定行为者和行为的正式执法进展。公开呼吁传达的是优先事项，但法院文件或官方行动能够确立更精确的指控。任何此类进展都应依据其实际主张和支持证据来评估。

未来若有行动聚焦于界面提供商，将提出不同于聚焦网络运营者的问题。涉及控制、协调或知情的主张，都需要各自的证据基础。读者不应将每种基础设施角色视为等同。

这些信号也将有助于评估 THORChain 立场的持久性。更清晰的控制文档会强化技术说明。文档化能力与公开主张之间若存在无法解释的差距，将削弱人们对该说明的信心。

对于持续关注 THORChain Binance 洗钱事件的读者，请围绕资金流动、控制权与追回之间的区别来梳理调查。应比较不同日期的调查发现，而非将不同时间点的数据混为一个笼统总额。需要追问：某项报道中的干预措施影响的是钱包、交易路径、界面，还是整个网络？对于开发者和服务采购方，请在下一次事件发生前审查每一项兑换依赖的紧急响应行为。明确谁能够采取行动、其行动会中断什么，以及用户如何获得准确更新。随后关注三个具体信号：已部署的控制措施、可追回的资金，以及正式执法行动。哪些参与方能够证明，其所宣称的责任与其实际运营的控制措施相一致？