In brief
- Bitget攻击者于9月30日开始将约2,700枚ZEC（约380万美元）隐藏到Zcash的Ironwood池中。
- Near Intents表示，它拒绝了与此次黑客攻击有关的超过5000万美元的互换交易，而Thorchain则拒绝了Bitget提出的屏蔽攻击者地址的请求。
- Bitget将盗窃金额定为3.875亿美元；其CEO和Elliptic都指向朝鲜，但尚无政府证实。

从加密货币交易所Bitget盗走3.875亿美元的黑客已开始将部分赃款藏入Zcash的隐私池。链上调查员ZachXBT周三表示，攻击者开始将约2,700枚ZEC（约380万美元）转入Ironwood——Zcash这个注重隐私的区块链上的一个屏蔽池。

屏蔽池是Zcash网络的一部分，它对发送方、接收方和金额进行加密，因此一旦资金进入，任何人都无法追踪。Ironwood于7月28日上线，取代旧池Orchard，此前有研究人员发现了一个可能让人铸造伪币的漏洞。

据链上追踪，这笔存款约占攻击中被盗ZEC的七分之一。调查人员仍能看到代币进出该池，但看不到中间发生了什么。

Bitget CEO Gracy Chen曾表示，攻击的IP地址和模式与朝鲜黑客相符，区块链分析公司Elliptic称与朝鲜有关的可能性“极高”。Elliptic还将其列为2026年最大的疑似朝鲜盗窃案，使全年总额突破10亿美元。

资金如何流转至此

这起劫案始于9月24日，当时Bitget的系统标记出从其热钱包——即持有交易所日常资金的联网钱包——发生的未经授权转账。Chen表示，攻击者进入了后端系统并伪造交易数据，而非窃取私钥。Bitget表示其保护基金已覆盖损失，因此客户余额未受影响。

接下来是洗钱。TRM Labs发现，攻击者将资金拆分到持整数金额的新钱包中，每个钱包约10,000枚ETH或2,000万枚XRP。较小的份额则通过跨链互换服务——在不同区块链上将一种代币兑换为另一种代币、从而使痕迹变模糊的工具——进行转移，包括Thorchain、Across、Bridgers、Chainflip和FixedFloat。

与此同时，Near Intents则说不。其总经理Alex Shevchenko周二表示，其名为SHIELD的筛查系统拒绝了与Bitget攻击者相关的超过5000万美元的互换交易。他说，约50.3万美元在互换中途被冻结，约16.6万美元则漏了过去。

Near表示，被冻结的资金将进入法律和追回程序。此举引发了加密货币领域围绕“permissionless”（无需许可）一词的常见争论，这个词意味着任何人都可以不经批准使用网络。Near联合创始人Illia Polosukhin辩称，这并不强制要求每个应用处理每笔交易。

Thorchain则反其道而行之。在Chen公开要求Thorchain拒绝为攻击者地址提供服务后，Thorchain在X上发帖称，网络停机是保护协议的应急工具，而不是冻结特定资金或互换交易的方式。据其开发者称，它由独立节点运营者运行，由他们投票决定是否停机，而不是由公司运营。

THORChain网络停机是旨在保护协议的紧急安全机制。
停机不是对特定资金或单笔互换交易的选择性冻结。
在2026年5月的漏洞事件中，有1,070万美元从流动性池中被盗，攻击者的地址… https://t.co/HrigTUbA4Q
— THORChain (@THORChain) 2026年9月28日

一个明显的反驳是，Thorchain此前也曾停止过交易。根据其自己的报告，在5月15日发生1,070万美元漏洞事件后，它整个网络停机了约五周，并于6月22日恢复。

与此同时，黑客的互换交易仍在继续。链上数据显示，周一，几批总计约2,390枚ETH（约630万美元）的资金通过Thorchain被兑换成75.2枚BTC。

Bitget正在提供赏金：任何被冻结资金的5%，以及任何被追回资金的另外5%，但不包括由法院或执法部门下令采取的行动。