THORChain为什么跌 暂停兑换十天 黑客过路的钱反而没人拦

10月31日11时34分，以太坊出一个单区块回滚，把一笔10枚ETH的充值从链上抹掉了。THORChain已经把这笔钱记进了账，于是当那笔兑换没能按发送者的价格上限成交时，协议退了两笔：一笔退给它以为收到的那份，一笔退给真实的那份。金库凭空短了10枚ETH，自动偿付检查立刻掐掉了以太坊兑换，两分钟后节点停止签名出站，紧接着一次三节点的紧急投票把其余链一并关掉。到11月3日重新开放时，已经有三天时间，朝鲜黑客洗钱的通道是被协议自己关上的，不是被谁的要求关上的。这件事值得掰开：一个坚持不对黑名单做筛选的协议，到底把谁挡在了门外。

同一个关停动作，对两类人是两种结果

先把两条时间线并排放。10月29日币安被盗，FBI在10月31日把袭击归给朝鲜的TraderTraitor，同时拉出一长串地址，请THORNode节点运营方、RPC服务商和DeFi平台拦下相关交易。THORChain技术联合创始人Chad Barraford当天的回应是：节点运营方掌握的信息并不比公开数据多，不需要传票，这是调查最理想的局面。联合创始人JP Thor更进一步，说如果节点下周决定把协议下线，这个实验就结束了。几个小时后，一笔10枚ETH的双重退款触发了偿付检查。

于是出现了谁也预料不到的排布。按Chainalysis的说法，这次停摆无意中拖慢了洗钱进度；按调查者SomaXBT 11月1日的估算，袭击者此前已经通过THORChain换出约4,830万美元，只拿回4,270万，中间约12%被手续费和滑点吃掉。也就是说，这个协议对脏钱最有效的拦截，来自它对自己偿付能力的保护，而不是它对地址的判断。按节点自动执行的规则，它能在两分钟内掐断一条链的出站签名；按运营者的公开立场，它没有任何机制去拒绝一个被点名的地址。

11月3日重开的过程也是同一套机制在跑。THORChain的公开节点接口被第三方研究者在过去的区块高度上读过：比特币现金、狗狗币、莱特币、ZEC在美东时间11时36分到11时43分之间陆续恢复，比特币在12时09分，以太坊和波场在14时58分。到当天15时50分，BNB智能链、Cosmos Hub和Solana仍处于关闭状态，而Solana是黑客那970,522枚被盗代币的存放地之一。重启一条链的前提是开发者判定它安全，与这条链上正在流过什么资金无关。

链上唯一的痕迹是价格，而且价格没跟着交易量走

日线的节奏很清楚。10月30日RUNE盘中摸到0.723美元后收在0.650，10月31日收0.631，11月1日直接跌到0.553，11月2日0.558。以10月30日收盘为基准，两天里跌了约15%；若按CoinPaper记录的盘中口径，11月2日跌向0.52美元时单日跌幅约18%。随后11月3日反弹到0.632，11月4日收0.641，11月5日早上6时前后在0.642附近，反弹只收复了这段跌幅的八成左右，并没有回到停摆前的高点。

Binance全球顶级交易所 v3.22.4

类型：金融理财大小：306.2M语言：多国语言[中文]时间：11-2评分：10.0

成交那一侧更直接。DefiLlama的THORChain DEX日成交额在10月30日是1.568亿美元，10月31日1.892亿，到11月1日只剩106万，11月2日252万，11月3日恢复后回到8,451万。一个协议的核心业务几乎归零两天，代币只跌了一成半，这说明持有人卖的并不是“业务中断”，而是在赌重开。11月3日重开当日成交回到8,451万，仍不到停摆前的一半，比过去30天的日均5,330万高，但明显低于停摆前两天。

关机容易，关一个地址难：这不是技术细节而是设计选择

两种操作在THORChain的架构里性质完全不同。紧急停摆是一次治理动作，三个节点签名就能触发，代价是全网一起停，所有人都受影响，这属于协议预先保留的故障处理能力。拒绝某个地址的兑换则需要在每一次入站交易上做判断，判断依据是外部的、会变的、需要有人负责的名单，协议没有设置这个位置。Barraford的公开理由是节点方没有比公众更多的信息，这句话在技术上是成立的：节点的入站地址是公开的，任何人拿着FBI那份名单都能对照，是不是这笔钱，节点自己就能算。问题在于谁来下令、谁来承担算错的责任，以及一旦开了口子，下一次的标准从哪里来。

这部分不该被写成“去中心化的胜利”，也不该被写成“助纣为虐”。它是一个明确的取舍，代价有账面：据公开报道，多数平台配合冻结了约30亿美元的涉案资金，THORChain没有加入这一批。协议因此保住了自己作为中性结算层的定位，也把自己变成了被盗资金最稳定的一条出口。两件事同时成立，不算互相抵消。

池子够不够深，才是这条路走不走得通的真正问题

沿着数据往下看，洗钱成本已经给出了答案。SomaXBT估算那4,830万美元换出4,270万，损耗约12%。这个数字里既有协议固定的滑点费，也与池子深度直接相关：跨链汇率是按池内两种资产的实时比例算的，池子越浅，同样金额把价格推得越远。协议的滑点费按公式递增，额度越大越贵，所以一笔几十万美元的兑换，损耗远低于把同样金额拆成无数小笔，而拆单本身又增加了在链上被识别的次数。

换句话说，THORChain的门开得很大，但门里的走廊很窄。它能承接的是稳定、持续、有小额拆分的流量，接不住一次性的大额出逃。这解释了为什么袭击者从波场转到Solana，又拆成多笔换成USDC、跨到以太坊换ETH、再经THORChain换比特币：每一步都在避开单一通道的容量上限，也都在增加被追踪的落点。据Chainalysis，仅波场一侧的流转总额就有约5亿美元，其中包含大量钱包之间的来回转账，真实换手远小于表面数字。

RUNE的估值里，多了一笔市场暂时不知道该怎么定价的风险

把三组数字放一起看，RUNE这轮的反应并不像“业务中断”该有的样子。停摆两天，核心业务日成交从1.89亿掉到106万，跌幅99%以上，代币从0.650跌到0.553，跌15%；重开当日成交回到8,451万，代币反弹到0.632。价格跟的是“能不能重开”，而不是“重开后有多少笔脏钱流过来”。这背后有一个很实际的判断：即便不接这笔生意，协议的收入结构也撑得住。

但这个判断有前提。按DefiLlama的统计口径，THORChain DEX过去30天成交15.99亿美元，过去一年129.43亿美元，日均约3,546万美元；对应的手续费过去一年约2,004万美元，也就是万分之十五左右的水平。业务量本身波动极大：过去一年单日峰值出现在9月26日，5.084亿美元，是日均的十四倍。收入按量抽成、量随行情起落，这决定了RUNE的价格更贴近“交易活跃度的彩票”，而不是“处理了多少脏钱”的记分牌。

接下来真正该盯的，是三条链和一份名单

短期内第一个读数很具体：BNB智能链、Cosmos Hub和Solana什么时候恢复。Solana那条尤其关键，因为被盗的970,522枚SOL主体在这条链上，而按Arkham 11月4日的数据，黑客关联钱包还握着182,443枚，约占总数的18.8%，按当时价格约合1,690万美元。Solana的兑换一旦开放，这批剩余筹码就重新进入同一条通道；如果继续关闭，袭击者只能另找出口，成本会更高。

第二个读数是节点的行为，而不是创始人的表态。JP Thor说自己已经不再参与，Barraford说自己跟节点运营方交流不多，公开层面没有一份节点投票记录说明它们拒绝过某笔具体的兑换。可以核对的方法很朴素：观察BTC、ETH两条主通道重开后，是否出现与FBI名单资金规模相当的持续单向流；如果THORChain的单日成交在没有任何行情配合的情况下突然放量，那才是脏钱重新上路的信号。

欧易okx交易所 v6.195.1

类型：金融理财大小：549.4M语言：中文时间：11-1评分：10.0

第三个读数来自这个协议自己的账。10月31日那次停摆暴露的不只是一个回滚处理漏洞，还暴露了金库的偿付检查会在什么条件下被触发、由谁触发。开发者在补回滚区块的确认逻辑，但同类问题不止回滚一种：只要有一处代码认为钱到了、链上却不认，重复退款就会再来一次，节点还会不会投票全停，是下一个不确定项。这也是为什么11月1日的跌幅没有在11月3日被完全收复。

哪些情况会推翻上面的判断

如果后续出现一份可核验的记录，说明节点运营方在某个时间点确实拒绝过与名单匹配的兑换，那么“关机容易、关地址难”这个核心结论就需要重写，RUNE这轮下跌的解释也要换：那会是治理风险被重新定价，而不是业务停摆被定价。反过来，如果重开后的两周里，THORChain的日成交在没有行情推动的情况下稳定站回一亿美元以上，同时RUNE仍在0.64附近横盘，说明市场认定这笔“灰色流量”是长期收入的一部分，那时“走廊很窄”的判断也该调低权重。

至于那枚10枚ETH的退款错误，它最终没有变成用户损失：发送方把多退的那份还了回来，金库恢复平衡。这件事的真正成本不在那10枚ETH，而在于它证明了一个事实：这个协议对自己出错时的反应速度是按分钟算的，对监管点名的反应速度是按“没有这个功能”算的。两种速度之间的偏差，就是这几天价格里最难看懂、也最容易被低估的一部分。

资料来源

Cointelegraph，2026年11月4日，《Binance hackers move 81% of stolen Solana, route funds via THORChain》 https://cointelegraph.com/news/binance-hackers-move-81-stolen-solana-route-thorchain

CoinDesk，2026年11月4日，《THORChain's RUNE jumps 10% as North Korean hackers resume laundering Binance loot》 https://www.coindesk.com/markets/2026/11/04/thorchain-s-rune-jumps-10-as-north-korean-hackers-resume-laundering-binance-loot

Unchained / Yahoo Finance，2026年11月3日，《THORChain Restarts Most Swaps After Analyst Said Operators Would Expect North Korea to Launder》 https://finance.yahoo.com/markets/crypto/articles/thorchain-restarts-most-swaps-analyst-221043518.html

Cointelegraph，2026年11月3日，《RUNE rallies 15% as THORChain restarts most swaps after outage》 https://cointelegraph.com/markets/rune-rallies-15-as-thorchain-restarts-most-swaps-after-outage

TokenPost，2026年11月2日，《THORChain Details Refund Error That Left a Vault 10 Ether (ETH) Short》 https://www.tokenpost.com/news/technology/47198

The Block，2026年11月1日，《North Korean hackers launder $242 million of Binance loot via Tron as FBI presses THORChain》 https://www.theblock.co/news/defi/2026-11-01-north-korean-hackers-launder-242-million-of-binance-loot-via-tron-as-fbi-presses-thorchain-analyst-432257

DefiLlama，THORChain DEX 日成交额与手续费面板，取数2026年11月5日06:20（UTC+8） https://defillama.com/protocol/thorchain-dex

Binance 公开行情接口，RUNEUSDT 日线与永续未平仓、资金费率，取数2026年11月5日06:20（UTC+8） https://api.binance.com/api/v3/klines