导语：2026年9月24日，加密货币交易平台Bitget发生重大安全事件。根据平台后续公布的调查结果，受影响资产估值约3.88亿美元。随着部分被盗资产通过THORChain进行跨链兑换，一场关于去中心化协议法律责任的争论随之展开。
9月26日，Bitget首席执行官Gracy Chen在X上公开要求THORChain拒绝为已识别、正在追踪的攻击者地址提供服务。THORChain随后以比特币、以太坊和BNB Chain为例，强调自身作为去中心化、无须许可网络的属性。
争议在于：THORChain并非完全没有干预能力。就在2026年5月，其自身遭受攻击后，节点曾通过紧急措施和治理机制暂停相关业务。既然能够暂停交易，为什么不能阻止已知被盗资金继续兑换？这一问题引发行业内不同立场讨论。
技术与法律属性：公链，还是兑换与资金操作服务？
THORChain在技术上是一条独立运行的区块链，同时在协议中提供跨链原生资产兑换。所谓原生资产，指用户收到的是比特币网络上的BTC等资产，而非另一条链上代表BTC的代币。它有自己的记账和共识系统，也有专门完成兑换的资金池、金库和节点签名机制。
以ETH兑换BTC为例，过程主要包括三个环节：用户将ETH发送至以太坊网络上的THORChain金库地址，网络节点观察并确认入账；协议通过流动性池完成内部计价和兑换，原生代币RUNE承担不同资产池之间的连接作用；协议安排比特币金库向用户指定地址支付BTC，节点通过门限签名机制共同完成对外转账。
这笔BTC由谁签字转出，是理解争议的关键。THORChain采用门限签名机制（TSS），将签名所需秘密信息分散至参与金库管理的节点。正常规则下，相关节点达到联合签名门槛后，才能共同产生有效签名。普通兑换用户不持有金库签名份额，单个节点通常也无法独立完成金库转账。
这意味着，THORChain通过技术机制分散了资金操作权限，但并未消除兑换过程中的资金控制环节。2026年5月，THORChain自身安全事件就涉及攻击者利用门限签名方案漏洞逐步获取其他节点密钥份额信息，最终重构相关金库私钥。
从法律角度看，关键不是简单将THORChain归类为公链或去中心化交易协议，而是识别哪些参与者实际提供兑换服务，哪些参与者对资金及业务运行具有控制权或足够影响力。
此前能停机，为什么现在不能封禁地址？
THORChain是否具有干预能力，是本次争论最受关注的问题之一。根据THORChain官方2026年第二季度报告，5月15日协议自身遭到攻击后，自动偿付能力检查机制首先触发相关暂停，节点运营者随后进一步采取手动暂停及治理措施。经过安全修复，网络于6月22日前后逐步恢复运行。
这一记录说明，THORChain并非完全不存在协调干预机制。但问题在于：能够暂停部分业务，与能够精准阻止某个外部地址进行兑换，并不是同一种技术能力。
根据公开开发文档，协议具有多种暂停机制：停止兑换（Trading Halt）主要用于暂停特定链相关兑换处理；停止对外签名（Signing Halt）可阻止新的出金交易被签名执行；停止外部链观察（Chain Halt）会影响节点对特定外部区块链交易的监测与处理。此外，THORChain自身区块链运行与跨链兑换服务暂停不能完全画等号。
由此可区分三个问题：其一，技术上有没有干预能力？有。公开资料证明节点在特定条件下可协调暂停兑换、签名或外部链观察等业务。其二，现有机制能否仅针对某个攻击者地址实施统一封禁？不能直接得出肯定结论。现有公开控制文档主要列出按业务、链或网络范围干预的机制，未展示可直接对任意外部地址实施统一封禁的通用开关。若暂停某条链相关兑换，可能影响正常用户；若仅限制某个网页入口，也不一定能阻止用户通过其他接入方式使用底层协议。其三，能够采取某项技术措施，是否意味着法律上必须采取？答案同样不是当然肯定。
2026年7月，FATF发布的DeFi专题报告进一步讨论紧急开关、升级权限等控制机制，强调应结合权限性质、使用方式及其他事实评价控制权认定。因此，THORChain此前暂停记录可证明其具有特定业务干预能力，但不能直接推导出其全部节点都必须执行Bitget提出的地址封禁请求。
去中心化协议，法律责任究竟由谁承担？
本次争论背后更重要的法律问题，是去中心化金融业务中的责任主体如何识别。传统金融服务往往存在相对明确的运营公司、资金管理方或交易中介。但在DeFi协议中，一项业务可能由开发者、节点运营者、流动性提供者、治理参与者和前端服务商共同完成。当没有任何单一主体能够独立控制全部业务时，是否意味着不存在应当承担法律责任的人？现有国际监管规则并不支持这样的简单结论。
FATF在2021年发布的虚拟资产及虚拟资产服务提供商指引中，已明确区分底层技术与具体金融服务活动。第63段将以业务方式为他人提供虚拟资产之间的兑换纳入相关服务活动识别范围；第67段进一步指出，DeFi应用软件本身不是虚拟资产服务提供商（VASP），但如果相关创建者、所有者、运营者或其他人员对业务具有控制权或足够影响力，并实际提供或积极促成受监管服务，仍可能符合VASP定义。第83段则对单纯参与区块创建、验证和广播等基础网络活动的主体作出区分。
这套分析同样适用于THORChain。节点负责观察交易、执行共识和联合签名；流动性提供者提供兑换所需资产；开发者维护代码；接入协议的钱包或网站面向用户提供操作入口。不同参与者的权限、收益来源和实际业务角色并不相同，不能仅因与协议存在联系就统一认定为受监管经营者。反过来，也不能仅凭协议没有统一运营公司，便排除对具体责任主体的识别。
在THORChain金库安排中，单个节点通常无法独立完成转账，资金操作需要多个节点协同。但FATF指引在讨论虚拟资产转移、保管和管理时，已明确多签安排和多方共同控制不当然排除监管。国际证监会组织（IOSCO）在2023年有关DeFi的政策建议中，也讨论了由正式或非正式群体共同提供金融服务的情形。不过，存在集体操作权限，并不等于每一名节点运营者都必然构成同一种受监管主体。
欧盟《加密资产市场条例》（MiCA）序言第22段，将完全以去中心化方式、且没有中介提供的加密资产服务排除在条例适用范围之外。欧盟委员会在2026年5月通过ESMA公开的答复中重申，平台是否属于完全去中心化，应由主管机关根据具体情况逐案评价。协议采用分布式节点、自动执行机制或自称非托管，均不足以单独决定其监管身份。
收到黑客地址通报后，谁有义务配合追赃？
回到本次事件。Bitget要求THORChain拒绝为已公开的攻击者地址提供服务，这是一项来自受害方的风险通报及协作请求。它可以提供交易线索，帮助相关参与者识别风险，却不等同于法院裁判、监管决定或能够直接执行的资产冻结命令。但另一方面，如果相关参与者已属于适用法律规定的反洗钱义务主体，也不能仅以尚未收到法院命令为由，当然排除自身的风险审查和报告义务。
这里需区分四种法律行为：第一，审查与报告可疑交易。以美国规则为例，根据FinCEN针对特定资金服务业务（MSB）的规定，符合适用范围的资金传输商等主体，对于经其处理或试图经其处理、金额达到门槛且具有法定可疑情形的交易，可能需要提交可疑活动报告（SAR）。相关规则规定的通常门槛为单笔或关联交易合计2000美元，判断标准包括机构知道、怀疑或有理由怀疑交易涉及非法来源等。但适用前提是相关参与者确实受美国有关法律约束，并符合相应义务主体及交易条件。
第二，拒绝继续提供服务。对于已经受到监管的服务提供者，如果相关地址或交易具有明确风险，可能需要根据适用法律和自身风险管理要求，采取加强审查、限制业务或拒绝继续处理交易等措施。控制兑换网页或钱包前端的经营者，可能有能力限制该入口的部分操作；但底层协议如果仍然开放，用户也可能通过其他入口提交交易。因此，前端限制并不天然等于全网封禁。
第三，冻结已有资产。美国财政部海外资产控制办公室（OFAC）关于虚拟货币的指引说明，在相关制裁规定适用、主体持有或控制依法应冻结资产等条件满足时，受规则约束主体需要采取相应冻结和报告措施。但应区分“某个地址被Bitget公开标记为攻击者地址”与“该地址涉及适用法律下必须冻结的财产”，二者并非同一法律事实。可疑交易报告本身，也不当然赋予服务提供者任意扣押他人资产的权限。
第四，返还被盗财产。即使相关资产已被依法冻结，也不意味着可以直接交给提出请求的一方。资产返还通常还需考虑权属、司法程序、命令内容及适用法律。更现实的问题是，跨链资产控制权可能已发生变化。例如，资金通过THORChain兑换成原生BTC并支付到外部比特币地址后，这些BTC便不再处于原有THORChain金库控制之下。仅凭暂停后续兑换，无法将已经转出的BTC直接取回。
追赃不能只盯着底层协议。即使底层协议没有可以直接识别的统一运营者，资金流转过程中仍可能存在具备操作权限的其他参与者。FATF在2026年7月DeFi专题报告中，进一步强调识别控制权及沿资金流向寻找风险控制环节。例如，中心化交易平台或托管服务商可能对其实际控制的账户和资产采取合规措施；稳定币发行人在具有相应控制能力且满足法律条件时，可能冻结相关代币；钱包和兑换前端经营者实际提供的业务可能受到独立监管；其他受监管金融服务机构在与DeFi协议发生业务往来时，仍需履行自身适用合规义务。当然，不同主体能够采取的措施存在边界。
曼昆律师小结
Bitget与THORChain的争论，不能简单归结为“去中心化应当服从监管”或“去中心化网络天然不承担责任”。去中心化可以改变控制权分配方式，却不会自动消除相关参与者可能承担的法律责任。
THORChain是否需要响应Bitget提出的封禁请求，不能仅凭其公链身份、金库联合签名机制或此前停机记录得出结论。真正需要识别的是：哪些参与者实际提供受监管的兑换服务，掌握何种操作权限，以及哪些司法辖区的法律义务适用于他们。
同样需要明确，拒绝继续提供服务、报告可疑交易、冻结现有资产与返还被盗财产，是四个不同法律问题。受害方公开通报可以成为风险审查的重要线索，却不能直接替代法定冻结条件或司法处置依据。对依法负有反洗钱义务的主体而言，也不能将自身应当履行的合规要求完全交由社区投票决定。
对于DeFi行业，法律责任不会因为没有统一运营公司而自动消失；对于受害方，追赃也不能止步于要求协议整体停机，而应进一步识别资产流转过程中真正具备控制权和法定义务的参与者。这场争论值得关注的，不仅是THORChain是否应当执行Bitget请求，更是当一项金融服务由多个参与者共同完成时，法律应如何识别实际经营者、划定责任边界，并在安全、合规与去中心化之间建立可执行规则。