加密货币安全观察：当比特币可以追踪，却无法一键找回

本期看点：中国检方要没收扣在英国的 6.18 万枚比特币，受害人等了 8 年；马来西亚 9 个人被骗 362 枚，法院只判还一半；美国合众银行自己发币，先测冻结和追回；门头沟前 CEO 拆开新买的冷钱包，发现间谍芯片；Coinbase 爱尔兰因客户资金没隔开被罚。币丢了，到底还能不能拿回来？

本期内容｜章节

00:00 影片介绍

01:14 数据头条：杠杆撤出大零币，门罗币挤满多头，币圈的钱去炒黄金

03:10 6 万枚比特币锁了 8 年，到底归谁

06:00 被骗 362 枚只拿回一半，银行币却能一键收回

09:16 门头沟前 CEO 拆出冷钱包里的间谍芯片

11:37 Coinbase 爱尔兰被罚：充进交易所的钱放在哪

本节目内容仅供参考，不构成任何投资建议

文字版:
 

加密货币安全观察：当比特币可以追踪，却无法一键找回

引子：被一笔转账出卖的人

他卷走400多亿元人民币，用假身份在英国藏匿五年，最终却因为一笔比特币转账暴露了行踪。

伦敦警方在通报中描述：“我们识别出一笔来自某个加密货币钱包的资金流动，这个钱包此前在’ manners 行动’中已被确认，但自2019年以来一直处于非活跃状态。正是这一笔对外支付，让我们得以一路追踪到以钱志敏名义注册的账户。”

钱志敏，天津蓝天格锐实际控制人，2014年至2017年间以"保本高收益"为幌子销售理财产品，骗取全国超过10.2万名受害者，涉案金额高达403亿元，实际损失接近200亿元。部分赃款被用于购买比特币。2017年，他逃往英国；2018年，英国警方从其手中查获超过6.18万枚比特币。

他在英国的生活相当奢华——三个月内在哈罗德百货消费约9万英镑，甚至计划投资一个微型国家建造酒店和机场。2024年4月，他在约克被捕；2025年，被判处有期徒刑11年8个月。

今年10月13日，天津市第二中级人民法院发布公告，已受理检察机关的没收申请，给予受害者六个月时间进行债权登记。

八年过去，人抓到了，币也还在，可钱为什么还没回家？

追回来了，却拿不全

这6.18万枚比特币，按当前每枚约8.16万美元计算，总价值已达数十亿美元，远远超出受害者的实际损失。当年买入时，每枚不过几百到几千美元——骗子用赃款买的币，反而为受害者"增值"了几十倍。

多出来的钱归谁？中国检方主张优先返还受害者，剩余部分由英方没收。10月12日，英国高等法院裁定，返还需依据中国法律判断，而这一裁定反而可能增加英国政府保留大部分资产的可能性。

钱志敏案揭示了两个残酷事实：其一，比特币可以被追踪，区块链上的记录无法抹去，一个藏匿五年的人最终败给了自己的一笔转账；其二，可追踪不等于可追回，币被锁在另一个国家的金库里，需要经过两国司法程序，没人知道还要等多久。

骗子可以跑路，但区块链跑不了。

等了十年，只拿回一半

类似的故事在马来西亚上演。10月12日，吉隆坡高等法院对MBI Kingdom诈骗案作出判决：在查获的497.82枚比特币中，仅176.18枚被判归还给九名受害者。

2015年至2016年间，这九人被平台"每日1%利息、年化365%"的承诺所诱惑，共存入362.04枚比特币——这是典型的庞氏骗局特征。近十年等待后，法院承认这些币属于他们，但按比例只能拿回不到一半；剩余的321.64枚比特币（现值约2600万美元）被政府没收。

法官Mohamad Ariff在判决中解释，骗子将比特币经多个钱包转移并与其他资产混合。这种分层洗钱并不能抹去受害者的所有权，但由于共有207人申报损失约1023枚比特币，而实际只查获497.82枚，只能按比例分配。未被认领的部分则依据反洗钱法予以没收。

骗子没拿到，受害者拿回一半，最大的赢家是谁？

银行币的"后悔药"与比特币的"不可撤销"

与上述困境形成鲜明对比的，是银行发行的稳定币。

美国合众银行（U.S. Bancorp）——美国前五大银行之一——今年9月在Stellar公链上试点了其稳定币USBDC。该行高管本周表示，他们在测试中"完整验证了发行、销毁、冻结等全部功能"。

具体而言，合众银行通过Stellar链在北美和欧洲子公司之间转移资金，测试了四项能力：发行、销毁、冻结和** clawback（追回）**。所谓追回，是指发现转账错误或诈骗后，银行可以直接从收款方地址把币拉回来。

比特币没有这个按钮。没有任何人能移动它，即使是法院也不行。法院只能对警方已经扣押的部分作出裁决。

这是一个没有标准答案的选择题。比特币之所以有价值，恰恰在于没有人能冻结你的资产；但同样的特性意味着，当你被骗时，也没有人能帮你按下"撤销键"。银行币提供了"后悔"选项，代价是开关永远握在别人手里——哪天他们觉得你可疑，你也可能被冻结。

用户可以把两类钱分开管理：长期储蓄放在比特币里，私钥自己保管；日常转账使用银行稳定币。

硬件钱包的"供应链惊魂"

私钥从联网服务器转移到冷钱包后，攻击目标也随之转移。

我们曾在12月12日报道，马来西亚一家授权经销商销售的设备导致用户一天内损失1亿美元。11天过去，事态愈发尴尬：德国电子连锁MediaMarkt于10月13日下架Ledger产品，而Ledger坚称这只是东南亚的局部问题，德国门店完全干净。10月15日，他们还在巴黎发布了售价149美元的新设备，引发评论区一片哗然。

更令人震惊的是，有人拆解了一台从商家处购买的Ledger Nano X，发现里面多了一个芯片。

拆机者是Mark Karpelès——十二年前，他是全球最大比特币交易所Mt. Gox的CEO。该交易所倒闭，丢失约85万枚比特币，至今仍在清偿过程中，截止日期已推迟至2027年10月31日。

Karpelès确认，这台设备中包含一个间谍芯片，与中国、法国和东南亚批次略有不同。他在10月17日的节目中表示，早期植入板需要焊接电线、痕迹明显，而新版本只需卡入Nano X、点几处焊点即可完成。

Ledger方面的解释是：有组织犯罪集团花费数月购买正品、篡改后再放回东南亚分销渠道，称这不是系统性的供应链攻击。他们随后出台新政策：经销商不得将设备摆上货架，退货不得再次销售。他们声称新型号可以防止此类植入，但要到2027年夏天才能发货。

Mt. Gox因为私钥存储在联网服务器上而丢币；十二年后，私钥放进了冷钱包，小偷就开始攻击冷钱包——攻击只是转移了，并没有消失。

对于散户而言，购买冷钱包请务必通过品牌官网，远离第三方经销商、二手市场和小型电商店铺。收到设备后检查包装和外壳是否被拆封；助记词只能在设备上生成并手写在纸上。冷钱包是一把锁，在哪里买这把锁，远比锁本身的价格重要。

交易所里的钱，真的安全吗？

10月22日，Coinbase旗下爱尔兰子公司Coinbase Ireland被爱尔兰中央银行罚款325万欧元（约360万美元）。原因不是黑客攻击，而是客户资金管理不善——从2020年11月至2025年8月近五年间，客户资金的指定保障账户持续处于资金不足状态。

这已经不是Coinbase第一次在爱尔兰受罚。去年11月，Coinbase Europe因未能妥善监控反洗钱控制被罚款约2146万欧元。

他们自称是最合规的交易所，但如果连客户资金保障账户都能长期缺额，你存入交易所的钱到底被放在哪里？

Coinbase披露，2023年加密友好银行Silvergate倒闭之际，他们引导30名客户将资金存入另一家美国银行账户，与Coinbase另一实体的资金混在一起。一个编码错误导致保障账户在2023年至2024年上半年平均短缺0.54%。

客户资金隔离意味着交易所将客户资金与公司自有资金分开存放。如果公司出现经营问题，客户资金不会被用于偿债。在这起案件中，Coinbase技术上并未违规，但由于保障账户资金不足，某些当天可能有人无法完成提款。

无论是放在交易所还是自行管理，都不是绝对安全的：交易所有管理漏洞，冷钱包可能被篡改。散户选择交易所时，请先问三个问题：是否有当地牌照？客户资金是否独立管理？是否定期公布储备金证明？

大额长期持仓应转移到自己的钱包并自行管理私钥；交易所里只保留交易所需的资金。

325万欧元对Coinbase来说不值一提，但这是对散户的提醒：你交易所账户里的数字，只是他们欠你的债。

结语：最好的方法是别让它丢

回到开头的问题：如果比特币也能一键冻结和追回，你愿意吗？

这是一个没有标准答案的选择题。比特币的价值恰恰在于无人可以冻结你的资产，但这也意味着被骗时无人能帮你"撤销"。银行币有"后悔药"，但开关永远在别人手中。

钱志敏案和MBI案共同说明：可以追踪，不等于可以追回；即使追回，也可能拿不全，还要等很久。骗子可以跑路，但区块链跑不了。受害者等得起，但法院不急。

被骗后立即报警，保留每一笔转账记录、钱包地址和聊天截图。最可怕的不是币追不回来，而是币追回来了，你却无法证明它是你的。

最好的方法是：别让它丢。