被盗加密货币的真实去向：揭秘45天洗钱流程

六年间，逾160亿美元蒸发

加密货币盗窃已不再是数字资产行业正在逐步摆脱的一个阶段，而是一个独立的产业。截至目前，仅过去五年间，链上调查人员统计的被盗总额就呈激增态势（2022年37亿美元，2023年17亿美元， 2024年22亿美元，2025年34亿美元），且这些数字尚未显现出任何减缓的迹象。

事实上，值得一提的是，去年总损失额的近一半来自单一事件，即2025年2月的Bybit黑客攻击事件。在该事件中，攻击者突破了该交易所冷钱包的签名流程，并盗走了15亿美元（这使其成为有史以来规模最大的加密货币盗窃案）。

据安全公司Blockaid统计，今年上半年情况惊人地相似，创纪录的212起事件共造成约11亿美元损失。 其中最大的一起单次攻击发生在4月19日，针对再质押协议KelpDAO的攻击造成2.93亿美元损失；TRM Labs统计显示，这六个月内共发生207起事件，是去年同期数量的两倍多。

45天套路

上述盗窃案发生后的典型流程如今几乎已成为一套固定剧本，研究人员描述了一个独特的洗钱周期，该周期大致持续45天，分为三个阶段。

在第0天至第5天期间，速度至关重要，被盗代币通常通过去中心化金融（DeFi）协议进行兑换（相关活动激增高达370%），并被推入混币服务——这些服务通过汇集和洗牌代币，切断源头与目的地之间的关联。 在第0天至第5天期间，资金通过跨链桥在不同区块链间跳转，并流经“了解你的客户”（KYC）审核较宽松的交易所。

随后，从第20天左右到第45天，这些代币会通过无需KYC验证的交易平台、即时兑换服务、 以及中文场外交易（OTC）网络和受制裁的Huione交易平台等担保服务，分批变现（通常每笔低于50万美元，以规避报告门槛）。 因此，到周期结束时，资金已经历了如此多的区块链、混币器和司法管辖区，尽管仍有可能追溯来源（因为区块链永不遗忘），但追回资金的情况却极为罕见。 为了便于理解，尽管Bybit拥有业内最活跃的白帽安全团队，但其被盗资金中最终追回的比例还不到5%。

2026年：攻击增多，赃款减少

今年，攻击者扩大了攻击目标范围，因为除了像KelpDAO那样的协议漏洞利用外，仅4月份被盗金额就达到6.4167亿美元，创下单月新高。 与 Lazarus 组织有关联的朝鲜黑客团伙导致了上半年约 55% 的损失；而 CertiK 的统计（包括钓鱼攻击和个人钱包被清空事件）显示，该期间共发生 344 起事件，损失总额达 13.2 亿美元。

最近发生的Coldcard硬件钱包漏洞事件表明，攻击者的套路也在向比特币领域延伸。在从种子短语不安全的钱包中盗取约1.16亿美元后，攻击者开始整合币种，而旁观者则密切关注着每一笔转账。 鉴于此次事件，比特币的核心卖点——如透明性和不可逆性——几乎在一夜之间变成了双刃剑：尽管所有人都能看到被盗币的流向，却无人能将其追回。

为何几乎从未发生过资产追回

在所有此类攻击发生时，唯一一次又一次被证明行之有效的手段就是通过中心化平台冻结稳定币。 Tether和Circle可以在合约层面将地址列入黑名单，瞬间冻结窃贼手中持有的任何USDT或USDC，这正是为何老练的攻击者会在入侵发生后几分钟内，将盗取的稳定币兑换成以太币或比特币，不惜承担价格风险也要逃离冻结范围。

这揭示了一种耐人寻味的不对称性：即抗审查性最强的资产最容易被洗钱，而最易被冻结的资产则最容易被追回。每套洗钱策略归根结底都是一场竞赛——在任何拥有“暂停键”的人察觉之前，将可追踪的资产转化为不可追踪的资产。

加密货币盗窃背后令人不安的现实是：预防几乎就是全部。交易所和分析公司可以冻结接触合规平台的资金，这正是洗钱者优先利用DeFi和混币器的原因——在那里，没有人能冻结任何资产。

对混币器及Huione等服务的制裁虽会提高成本，但只是将资金流推向继任者，而非真正阻止它们。而45天的时限意味着，等到跨境法律程序甚至才刚刚启动时，这些代币通常已经完成了它们的旅程。

对于用户和平台而言，教训在于：一旦资金被盗，其中绝大多数将永远无法追回。 此外，攻击者的运作周期比合规流程更快，每当媒体头条出现“加密货币盗窃案正在减少”的报道时，下一个价值数十亿美元的反例早已悄然展开。区块链记录一切，却一无所还。