Bitget 被盗后，CEO 公开要求跨链兑换协议 THORChain 拒绝为黑客地址提供服务，THORChain 以自己是“无许可网络”为由拒绝了。这份调研讲清四件事：“无许可”到底是什么意思；黑客怎样用 THORChain 把赃款换成比特币；这条链的机制怎么设计；它理论上能不能停下来。文中有四个可以动手操作的演示。
六个问题，一张表回答。
THORChain 是一个跨链换币网络，不用注册、不用实名，能把 ETH、BNB、XRP 等直接换成真正的比特币。黑客把赃款转进它的金库，附一张写着“换成 BTC、打到某地址”的纸条，网络就会自动换好，再由节点联合签字，把比特币发到黑客的新地址。THORChain 说自己“做不到”拦截，但它其实有好几档内置暂停键，自己被盗时 52 分钟内就自动暂停了。它不拦黑客，真正的原因是立场、治理和利益，而不是技术能力。
| 问题 | 答案 |
|---|---|
| “无许可网络”是什么意思 | 任何人都能用，不需要谁批准，也没有人有权说“你不能用”。THORChain 用这个说法论证“我们不挑客户，所以不拦黑客” |
| 黑客怎么用它洗钱 | 把偷来的币转进 THORChain 金库，附上指令，网络自动把币换成原生 BTC，再由节点签名发给黑客 |
| 这次洗了多少 | 截至 9/26 上午，约 101.5 BTC（约 850 万美元）已经从 THORChain 换出；另有约 2,763 万枚 XRP（约 4,300 万美元）正在经它换成 BTC |
| 理论上能停吗 | 能任何一个节点都能让全网暂停 1 小时；3 个节点投票就能暂停某条链的交易；改代码还能拒绝特定地址 |
| 为什么不停 | 一是“中立”是它的招牌；二是治理上，3 票通过的暂停会被 4 票推翻；三是手续费收入；四是担心一旦开始审查，就要为所有赃款负责 |
| 它按过暂停键吗 | 按过很多次，但都是为了保护自己的钱：2021 年被攻击时、2025 年 1 月借贷业务资不抵债时、2026 年 5 月自身被盗时（那次停了 39 天） |
公共道路和小区停车场的区别。
无许可（permissionless）是指使用一个网络不需要任何人批准：不用注册，不用实名，不用审核，也没有管理员能把你挡在门外。打个比方，公共道路谁都能开车上去；小区停车场要先登记车牌才让进。银行和中心化交易所属于后者，开户要实名认证（KYC），出了问题可以冻结你的账户。比特币是无许可网络的典型。
THORChain 的逻辑是：既然我们是无许可的，就不能挑选用户，所以不能拦黑客。这里有一个偷换概念的地方：“无许可”说的是谁都能进门，并不等于技术上拦不住。它是一种价值承诺，不是物理限制。争议的焦点在于，THORChain 到底更像高速公路，还是更像换汇亭。点下面的按钮切换两种说法：
五个零件，组成一座无人值守的换汇亭。
THORChain 是一条独立的区块链，它的本职工作是不借助“包装币”，直接把一条链上的币换成另一条链上的原生币。比如你给它 ETH，它还给你真正的比特币，而不是某个机构发行的“比特币凭证”。它由五个零件组成：
图 1 · THORChain 的五个零件。节点数量据 THORChain 自述（约 95 个，没有管理员密钥，也没有控制型多签）。
换币指令长这样：=:BTC.BTC:bc1q…，意思是“做一笔市价兑换，换成比特币链上的 BTC，打到 bc1q… 这个地址”。用户（或者黑客）在任何钱包里给 THORChain 当前的金库地址转一笔 BNB，备注里写上这行字，就算下单完成，不需要经过任何网页前端。
八个站点，每一站都标出谁能拦、拦的代价是什么。
以这次 Bitget 被盗的一笔 BNB 为例，看它怎样经过 THORChain 变成黑客手里的比特币。点击数字，或用下方按钮逐站前进：
走完一遍会发现，第 3 到第 6 站都在 THORChain 节点手里，每一站都有现成的“刹车”。钱一旦过了第 6 站、变成黑客地址上的原生 BTC，就再也没有发行方能冻结了。
三条路线进了 THORChain，另一条走了 Chainflip。
| 路线 | 怎么走 | 换出 BTC |
|---|---|---|
| BNB → THORChain | BNB 链上的黑客地址直接转进 THORChain，37 笔，BTC 打到 15 个比特币地址，其中只有 1 个在案发前用过 | 51.26 |
| TRX → THORChain | 在 Tron 链上直接转进 THORChain，1 笔 | 2.20 |
| TRX → USDT0 → THORChain | 先换成 USDT0 跨到以太坊，再进 THORChain，18 笔 | 48.05 |
| 经 THORChain 小计 | 约 850 万美元，与安全公司 GoPlus 的统计（约 101.5 BTC）一致 | ≈101.5 |
| TRX → Chainflip | 经隐私工具 Umbra 转到 Arbitrum，再走另一家跨链兑换协议 Chainflip，6 笔 | 21.65 |
| XRP → THORChain | 约 2,763 万枚 XRP（约 4,300 万美元）经多个新账户转进 THORChain，大部分正在换成 BTC | 进行中 |
数据来自 Bitquery 链上追踪，截至 9/26 上午。Bitquery 发现，两股 BTC 最后汇进了同一个比特币钱包。媒体早期报道的“约 400 万至 450 万美元”是更早时间点的统计。
3.875 亿美元的赃款，到现在只有约 5,000 万美元经过或正在经过 THORChain，大头（约 1.84 亿美元的 ETH 和 1.18 亿美元的 XRP）仍在休眠。原因之一是THORChain 的池子太浅：2026 年一季度末，全网流动性只有约 6,640 万美元。池子浅，一次换得越多，价格就越差。拖动下面的滑块体会一下：
这是示意模型。按 THORChain 连续流动性池的公式计算：到手 = 投入 × 深度² ÷ (投入 + 深度)²。模型只算单个池子，假设每批之间套利者会把价格拉回原位，忽略 RUNE 中转（真实情况要经过两个池子，损耗更大）。单位：百万美元。
所以黑客的做法是小口、分批、多通道：THORChain 默认就会把大额兑换拆成很多笔小额“流式换币”（最长持续 24 小时），黑客同时还分流到 Chainflip 等其他通道；换不完的，先放着不动，等风头过去再说。
从拦一个地址到停掉整个网络，每一档都写在它自己的文档里。
| 档位 | 谁能按 / 效果 | 用过吗 |
|---|---|---|
| 前端筛查 | THORSwap 等网页前端可以拒绝可疑地址。但黑客直接往金库转账就能绕过 | 常用，拦不住老手 |
| 紧急暂停 make pause | 任何一个活跃节点都能按，全网停 720 个区块（约 1 小时），多个节点可以叠加 | 2026-05 自保时用过 |
| 暂停某条链的交易 / 签名 | 通过链上参数系统 Mimir 投票：3 票生效，4 票推翻，5 票恢复。只停一条链，其他链照常 | 2025-02 按下后被推翻 |
| 自动偿付检测 | 金库里的钱对不上账就自动停。但只对“自己的钱少了”有效，对外来的赃款没有反应 | 2026-05 自动触发 |
| 出站延迟窗口 | 大额出站最长延后约 1 小时，专门留出按暂停的时间 | 设计内置 |
| 改代码拒绝特定地址 | 开发者写进黑名单逻辑，节点升级后生效，能做到精准拦截 | 从未做过 |
简化规则：Mimir 运营参数至少 3 票才生效，之后哪一方票数多，就按哪一方执行（对应 3 票生效、4 票推翻、5 票恢复）。每次紧急暂停让全网多停 720 个区块，约 1 小时。每个节点在每个轮换周期（3 天）内只能按一次。
看它什么时候按过暂停键，就知道暂停键是给谁准备的。
两次被攻击，网络暂停
自保借贷业务资不抵债：节点投票暂停 THORFi 借贷和储蓄，约 2 亿美元债务冻结 90 天
自保Bybit 案：约 12 亿美元赃款经 THORChain 洗出，单日交易额创下 8.6 亿美元的纪录。3 个节点投票暂停 ETH 交易，很快被推翻，核心开发者 Pluto 随后离开
不拦KelpDAO 案：Arbitrum 冻结了 3 万多枚 ETH 之后，黑客把约 1.75 亿美元的 ETH 经 THORChain 换成 BTC。THORChain 从中收取约 91 万美元手续费，官方回应称“代码是中立的”
不拦自己被盗约 1,070 万美元：52 分钟内自动暂停，约 2 小时全网停机，前后停了 39 天。恢复方案 ADR-028 写明，恢复后也不审查攻击者的换币交易
自保Bitget 案：拒绝拦截请求，称自己和比特币、以太坊一样是无许可网络
不拦“你会去怪劫匪逃跑用的高速公路吗？”“为什么不去要求比特币矿工拦截？”这些反驳背后有一个真实的顾虑：如果协议能按名单拦截，名单由谁来定？今天拦的是朝鲜黑客，明天就可能被要求拦普通人。全网暂停还会让所有正常用户陪着一起停。
关键问题只有一个：钱最后是谁签字放出去的。
| 维度 | 比特币 / 以太坊 | THORChain |
|---|---|---|
| 钱在谁手里 | 在用户自己的私钥下 | 进了金库之后，由节点联合托管 |
| 谁签字放钱 | 用户自己 | 约 2/3 的金库节点联合签名 |
| 网络扮演什么角色 | 被动记账：谁签了名就打包谁的交易 | 主动服务：接收、定价、兑换、签发 |
| 能不能暂停 | 几乎不能，要全社区硬分叉 | 有内置暂停键，单个节点就能触发 1 小时 |
| 靠什么赚钱 | 矿工 / 验证者收交易手续费 | 节点和流动性提供者收兑换手续费，赃款也贡献手续费 |
这正是 GoPlus 和 OKX 创始人徐明星等人批评的重点：比特币网络不替任何人签字，THORChain 的节点却要亲手签字，才能把 BTC 发给黑客。所以“我们和比特币一样”这个类比并不成立。
THORChain 只是其中一环，却是最关键的一环。
图 2 · 朝鲜黑客的典型洗钱链。绿色字是可以拦截的角色，红色字表示基本拦不住。
其他环节有人拦过：Bybit 案中 Tether 冻结了约 900 万美元，Layer 2 网络 Mantle 冻结了 4,100 万美元；KelpDAO 案中，Arbitrum 安全委员会动用紧急权限冻结了 3 万多枚 ETH；2026 年 3 月，美国财政部海外资产控制办公室（OFAC）制裁了一个替朝鲜洗钱约 8 亿美元的网络。THORChain 所在的第 ④ 环之所以关键，是因为它是把 ETH 大规模换成原生 BTC 的主要通道，而 BTC 一旦到手，就几乎没有人能冻结了。TRM Labs 把它称作朝鲜几起最大案件里“首选的桥”。
去中心化是一个程度问题，不是一张标签。
“要么什么都拦，要么什么都不拦”是一个假的二选一。更可行的中间方案是一套规则事先公开、范围很窄、有时限的紧急机制：只针对受害方公开声明、有执法机构背书的攻击地址，在出站延迟窗口里暂停签名，并且到期自动失效。THORChain 已经有了所有技术零件，缺的只是一条公开的使用规则。截至 9/27，检索中没有看到相关提案。
说法有冲突的地方，以及接下来要盯的事。
| 问题 | 现状 |
|---|---|
| XRP 那条线 | 约 4,300 万美元的 XRP 正在经 THORChain 换成 BTC，最终数字还会上升 |
| 约 3 亿美元休眠赃款 | 一旦开始移动，THORChain 很可能再次成为主要通道 |
| Bybit 那次投票 | 多数报道说 3 票暂停、4 票推翻，也有报道说“多一票就推翻了”；推翻的时间，有的说几分钟，有的说半小时 |
| Bybit 经 THORChain 的金额 | 早期报道 6.05 亿美元，后来的统计约 12 亿美元（MistTrack），各方口径不同 |
| 监管 | 截至 9/27，未见 OFAC 或美国司法部直接针对 THORChain 的行动；执法主要冲着朝鲜的中间人和场外商去 |
| 内部筛查提案 | 2025 年曾有开发者表示在做筛查服务，但截至 9/27，没有看到正式提案 |
检索于 2026-09-27。机制部分以 THORChain 官方文档为准。
调研方法。机制描述依据 THORChain 官方文档，链上数据依据 Bitquery 等第三方追踪，各方评论标明出处。演示中的公式和投票规则做了简化，只用于理解，不代表精确参数（真实参数由链上的 Mimir 随时调整）。本文不构成投资建议，也不提供任何规避监管的操作指引。