Chainflip拒收Bitget黑客跨鏈存款，資金未完成兌換，也未被凍結，最終退回黑客地址

Bitget被盜資金嘗試經Chainflip跨鏈轉移，broker拒絕存款，資金未完成兌換，也未被凍結，最終退回黑客地址。

Bitget熱溫錢包遭未授權轉出後，官方估損由約3.516億美元上修至約3.875億美元，覆蓋eth、xrp、usdt、usdc、bnb、avax、trx、zec等資產，冷錢包未受影響。攻擊者先以0.184 eth和193 trx做低於風控閾值的試探，再在約一小時內完成多鏈大額轉出。鏈上追蹤顯示部分贓款已走thorchain、umbra、stargate及chainflip等通道兌成btc。

此次被拒路徑與此前已成功走通的chainflip通道不同。公開鏈上覆盤顯示，攻擊者曾把約2353 eth打入chainflip流動性賬戶並提走約74.46 btc，另有約150 eth直接經chainflip兌btc；tron側贓款也有經ethereum再進chainflip、兌出約3.56 btc並留下約9997 usdt待處理的記錄。新一筆嘗試被broker攔截，說明篩查已覆蓋該筆入金，但協議並未把資產扣留。

chainflip的拒絕機制落在broker層：接口方可對高風險入金執行拒收，被拒資金按用戶填寫的退款地址退回。該能力先用於btc，後擴展到ethereum及erc20。Bybit被盜資金流入後，該網絡曾切斷主前端並推動broker篩查升級，本次對Bitget關聯地址的拒收沿用同一套邏輯。退回意味着地址標籤生效，但不構成司法凍結。

同期其他出口並未同步關閉。thorchain在收到Bitget方面拒絕對攻擊地址提供服務的請求後，仍以去中心化、無許可爲由繼續處理兌換；部分trx經sunswap兌usdt後再橋至ethereum進入同一洗錢鏈路。circle、tether等對個別穩定幣地址的拉黑僅鎖住約31.8萬美元量級，相對總贓款可忽略。仍有約4.89萬枚eth趴在從未向外轉出的錢包中。

Bitget稱入侵來自第三方安全產品零日漏洞，攻擊者拿到高等級內部憑證後僞造提現指令，由交易所自身授權流程簽名轉出，私鑰未被盜。保護基金自稱逾4.64億美元可覆蓋損失，比特幣提現已按計劃重開，其餘資產分期恢復。Mandiant與SlowMist仍在做取證，完整技術報告未出。

市場機制上，這是事件驅動的合規拒收，不是市場買賣。broker與流動性提供方選擇不接髒錢，避免自身池子被污染和後續凍結風險；黑客則承擔退款延遲與地址進一步暴露。受益的是仍在運行篩查的跨鏈接口，承壓的是無許可兌換通道：資金會改走thorchain、混幣和一次性地址。贓款未消失，只是這一跳失敗。

鏈上追蹤方稱將繼續跟隨被退回地址的後續拆分、換鏈與兌出。公開復盤裏，已兌出btc多進入剝鏈地址，部分進入coinjoin；xrp大頭已離開初始接收地址並大量兌成btc。

來源：公開信息