作者：Lyndon & Lisa

编辑：Liz

背景

2025 年 2 月 21 日，加密货币交易所 Bybit 遭遇大规模黑客攻击，被盗资金总额高达 14.6 亿美元，成为历史上针对交易所最严重的攻击之一。根据链上分析，黑客的主要洗钱方式是通过 THORChain 将 ETH 兑换成 BTC，传言在短短几天内，黑客的洗钱活动为 THORChain 带来了 29.1 亿美元的交易量和 300 万美元的手续费收入。Bybit 联合创始人兼首席执行官 Ben Zhou 在 3 月 4 日确认，黑客共通过 THORChain 兑换了 361,255 枚 ETH（约 9 亿美元），占被盗资金的 72%。

这一事件再次引发了对去中心化跨链桥 (Cross-Chain Bridge) 的关注。本文将探讨 THORChain 的运行方式、核心组件、安全机制，以及如何分析出从 THORChain 跨链后的地址。

THORChain 是什么？

THORChain 是一个去中心化的跨链流动性网络，使用 Cosmos SDK 构建，作为第一层跨链去中心化交易所 (DEX) 运行，使用户能够无需信任第三方，以非托管的方式在不同的区块链之间交换资产。

运行方式

(https://docs.thorchain.org/technology/bifrost-tss-and-vaults)

假设 Alice 想用 ETH 兑换 BTC，THORChain 的工作流程如下：

• 用户发起跨链交易：Alice 向 THORChain ETH Vault 发送 ETH，交易被 THORChain 监测到，并触发交换逻辑。

• 跨链交易执行：THORChain 通过 Bifrost 解析 ETH 交易，并计算 BTC 价格。AMM 机制计算兑换比例，并确定 Alice 将收到多少 BTC。

• 目标链资产释放：THORChain 通过 TSS（阈值签名）机制，在 BTC 网络上签署交易，将 BTC 发送到 Alice 指定的地址。

整个过程完全去中心化，无需第三方。

核心组件

• RUNE 代币及经济模型：RUNE 是 THORChain 的原生代币，主要用于提供流动性、保障安全、管理治理及提供奖励机制。THORChain 采用基于滑点的费用模型 (CLP)，即交易费用与交易滑点挂钩，会根据交易对流动性需求动态调整（以 RUNE 配对），是 THORChain 独特的自动做市商 (AMM) 设计核心之一。

(https://docs.thorchain.org/thorchain-finance/continuous-liquidity-pools)

• 跨链互操作性机制（Bifrost、TSS 和 Vaults）：每个节点都有一个“Bifrost”服务，用于处理连接到每条链的细微差别。节点同步后，它们会监视金库地址。如果看到转入交易，它们会读取并将其转换为 THORChain 见证交易。状态机处理最终确定的交易并执行对应的逻辑，例如对交易进行排序、计算状态更改以及将它们委托给特定的金库出口。接着，创建一笔转出交易，并将其存储在 Key-Value 存储中。一旦创建了最终的交易，签名者就会从他们的本地副本中加载它，并使用相应的链客户端将其序列化为目标链的正确交易，然后将其发送到协调密钥签名的 TSS 模块。最终签名的交易被广播到相应的链上。

(https://docs.thorchain.org/technology/bifrost-tss-and-vaults)

• Cosmos 和 CosmWasm：由于 THORChain 是基于 Cosmos SDK 构建，继承了 Cosmos 生态的灵活、便捷等优势，同时也解决了 Cosmos 上的一些问题：例如多资产表示问题、节点软件缺陷问题、钱包地址不兼容问题等。THORChain 也支持 CosmWasm 合约，其中名为 x/wasm 的模块，会自执行当中 .rs 结尾的合约。开发者会按照每两周一次的升级周期部署这些合约。它们首先会在测试网上进行测试，并在经过一段时间的验证后部署到主网运行。

安全机制

• 节点激励与惩罚机制：每个 THORChain 节点需要质押 RUNE，作为对网络安全的担保。若节点出现违规或受到攻击，质押资产将面临扣减，起到威慑和风险分担的作用。系统内置自动化检测和惩罚机制，一旦发现恶意行为，即刻执行惩罚，保障整个网络的健康运行。

  
  

• 智能合约与多签机制：通过智能合约实现资产管理与调度，保证跨链操作的自动执行和不可篡改。为了防止单点故障或集中化风险，多签机制在跨链资产的解锁和转移过程中发挥关键作用，确保交易各环节都经过多个节点确认。

  
  

• 持续审计与升级：开发团队和社区会定期对协议和合约进行安全审计，及时发现并修复漏洞。面对新出现的安全威胁和技术挑战，网络不断进行协议升级和优化，以适应不断变化的区块链生态环境。

如何追踪 THORChain 跨链？

以 Bybit 事件黑客的中转地址 0x8ab1d1d3e7db399835172576cce0bd1c200a1ce8 为例，该地址将接收到的资金通过 THORChian 进行跨链，流向 BTC 地址：

有以下几种方式得出黑客通过 THORChain 跨链后的信息：

• 跨链桥 Explorer：最简单直接的方式便是搜索该跨链桥是否有 Explorer。在 Explorer 中输入跨链交易的 hash 进行查询，可以清楚看到跨链后的币种、金额和接收地址。

(https://thorchain.net/tx/0x16ed29f9bf9914ea3b62e4e94829eaef10118d04e82849a285ef8a5700defa1a)

• 区块链浏览器：如果该跨链桥没有相关 Explorer，还可以使用区块链浏览器如 Etherscan 查看。选择以 UTF-8 格式显示 Input Data：

或通过点击 Decode Input Data 得到解析后的地址：

还可以通过 Logs 查看：

MistTrack：慢雾 (SlowMist) 旗下反洗钱追踪分析系统 MistTrack (https://misttrack.io/) 已支持跨链解析功能，点击文末的阅读原文可以直接跳转至 MistTrack 官网。在 Standard plan 中，右键单击“THORChain”，选择“Cross-chain Parsing”就可以看到兑换后的资产以及接收地址：

同时，单击解析后的地址，就可以直接进入接收地址的详情页面。

除了 THORChain，MistTrack 目前还支持解析 Bridgersxyz、TransitFinance、StargateFinance、AcrossProtocol 和 deBridgeFinance，未来将支持更多跨链桥。

总结

THORChain 作为一个无需许可的跨链流动性协议，虽然提供了高效、安全的资产兑换和转移方式，但也容易成为黑客资金清洗的工具，凸显了去中心化跨链的“双刃剑”特性。THORChain 只是其中一例，如何在去中心化、隐私保护与安全合规之间找到平衡点，已成为加密生态面临的重要挑战。