THORChain屡遭黑客「借道」洗钱：仍以去中心化、无需许可为由拒绝阻断

9 月 27 日，THORChain 作为跨链去中心化流动性协议，自 2021 年以来多次遭遇安全事件。2021 年 7 月连续发生两起「虚假存款」攻击，损失合计约 1600 万美元；2026 年 5 月 15 日，一名恶意节点运营商利用 GG20 阈值签名方案漏洞，重构金库私钥，从单一 Asgard 金库中抽走约 1070 万美元资产，涉及比特币、以太坊、BNB Chain、Base 等多条链。加上创始人个人钱包被盗等事件，累计损失已接近 2500 万美元。协议随后暂停交易长达 39 天，进行安全升级后才恢复运营。

更引人关注的是，THORChain 因其无需包装资产、可直接跨链兑换（尤其是 ETH 到 BTC）的特性，成为黑客洗钱的重要通道。2025 年 2 月 Bybit 被盗约 14 亿美元（史上最大加密盗窃案）后，朝鲜 Lazarus 集团通过 THORChain 转移了约 12 亿美元（占 85%）的赃款，节点运营商从中赚取数百万美元手续费；2026 年 4 月 KelpDAO 约 3 亿美元黑客事件中，也有约 1.75 亿美元资金经此流转。此外，FTX 黑客、WazirX、Atomic Wallet 等案件中均出现 THORChain 身影。据分析，2023 至 2026 年间至少 7 起确认的洗钱事件，经 THORChain 处理的非法交易量约 92.7 亿美元，协议及流动性提供者从中获得约 1247 万美元手续费。

Bitget CEO 正式要求 THORChain 拒绝为攻击者地址提供服务后，THORChain 回应称其协议与比特币、以太坊、BNB Chain 一样属于去中心化、无需许可的网络。

此前面对压力，THORChain 社区曾投票讨论是否屏蔽相关地址，但最终以「去中心化、不审查」为由未予阻断，主开发者甚至因此辞职。支持者认为这是开放基础设施的本质；批评者则指出，协议在事实上为犯罪资金提供了便捷通道，引发了关于 DeFi 中立性与责任的激烈争议。这一系列事件凸显了跨链协议在便利性与安全合规之间的长期张力。