Chainalysis认定朝鲜为Bitget 3.87亿美元XRP盗窃案幕后黑手

Chainalysis将Bitget失窃案定性为朝鲜所为

9月24日,黑客从Bitget盗走3.87亿美元。链上分析机构Chainalysis现已将这起盗窃定性为朝鲜行为者所为。这一结论意味着,2026年与朝鲜关联的实体窃取的加密资产总额已突破10亿美元。回顾2025年,朝鲜行为者全年从行业内卷走的资金超过20亿美元,照今年的推进速度看,这一纪录并非不可撼动。Bitget失窃案是2026年迄今规模最大的加密货币黑客事件,并将9月全行业的被盗金额推高了462%。怀疑的目光几乎在事发当时就落到了平壤头上:Bitget首席执行官Gracy Chen指出,相关IP地址与一个在朝鲜境内活动的团体的VPN使用习惯吻合。Chainalysis已公布对被盗资金的完整追踪,其作者把问题的核心归结为速度。该机构写道,在朝鲜已经部署高度自动化的工具来转移和掩盖赃款的当下,能否快速识别非法活动变得比以往更关键。XRP价格并不是这则新闻的重心,被盗代币本身才是。操作者自始至终没有把XRP送往任何交易所:他们通过一条跨链路径把代币换成比特币,让资产完全绕开交易平台。这一选择直接决定了调查的走向,因为传统的交易所入金会留下记录和身份线索,而链下流动性质押协议式的流动性协议不会。报告记录的是资金的流动轨迹,而非入侵的入口:Bitget至今没有公布黑客最初如何获取这些资金的根本原因分析。对托管类平台而言,这起案件既是安全考题,也是响应考题,因为资金在漏洞被利用后的数小时内就已离场,任何冻结都来不及生效。持有大量XRP储备的交易所如今面对报告提出的同一个问题:它们的监控能否跟上自动化洗钱的节奏。

XRP不经交易所直接换成比特币

机制层面才是XRP Ledger(瑞波账本)进入案卷的地方。Chainalysis记录到,在9月24日漏洞被利用后的3小时内,黑客发起23笔转出交易,把3.87亿美元分散到四条区块链上。以太坊承接了其中近一半,占比49.7%;XRP Ledger占40.8%;主打隐私的Zcash占7.6%;剩下的1.8%流向Tron。黑客没有把被盗XRP推向任何用于现货交易的交易场所,而是将其存入一个依托跨链桥运行的流动性协议,随后在另一条网络上提取比特币。整个入金路径中没有任何交易所地址,这也解释了为什么追踪团队只能把入金与提款逐一配对。配对结果显示,大约36个小时内,数千万美元沿这条路径流转,链条最终止于黑客控制的多个持有比特币的加密钱包,这些地址如今已被该机构纳入监控。整条路线的还原依赖入金与提款的直接匹配,而非任何交易所的KYC痕迹。速度来自工具:Chainalysis用自研人工智能搭建了定制自动化流程来加速跨链分析,据其估算,原本需要人工耗时超过20小时的对账工作被压缩到10分钟以内。人工分析师仍然负责定义规则并复核输出。这起盗窃还符合一套已经成型的作案手册。Bitget之前,朝鲜已被关联到4月的两起攻击。4月1日,黑客清空了Drift Protocol的2.85亿美元,协议方称这场行动经过数月的社会工程铺垫,包括线下面对面的接触。4月18日,他们又从KelpDAO桥抽走2.92亿美元,TRM与LayerZero均把这起事件与隶属拉撒路集团的TraderTraitor单位联系起来。这两起事故占到了今年4月前全部加密黑客损失的76%。

终点:受监控的比特币钱包

把这些线索放在一起看,XRP Ledger的处境并不舒服:它不是2026年最大黑客事件的攻击目标,却是赃款流经的通道。Chainalysis的复盘报告止步于追踪层面,没有给出Bitget失窃的根本原因,因为入侵入口至今没有公开记录。报告实际记录的是追踪侧的改进:自动化的跨链分析现在能覆盖过去需要一个完整工作日才能完成的工作量。入侵入口的状态没有变化:赃款仍存放在处于主动监控之下的比特币钱包里,调查人员继续设定规则并复核结果。对关注XRP新闻的读者来说,教训很直白:这条账本上的流动性,如今吸引着业内手段最高明的窃贼。