核心要点

约5400万枚XRP已离开五个攻击者控制的钱包。

Ripple无法冻结原生的XRP余额。

约有4900万枚XRP仍留在原始账户中。

交易所是资金追回的关键节点。

被盗XRP的流向与现状

被盗的XRP已不再停留在最初接收的地址。据对XRP Ledger链上记录的审查显示，截至9月26日UTC时间12:41，约有5400万枚XRP已从最初用于存放Bitget被盗资金的五个原始账户中转出。其中，两个初始各持有2000万枚XRP的账户，余额分别降至约23枚和55枚；另一个账户则持有约580万枚XRP。

约有4900万枚XRP（当时价值接近7500万美元）仍保留在这五个初始账户中。需要注意的是，该数字仅统计了原始托管账户中的资金：一旦资金离开这些账户，仍可能处于攻击者在 newly created 新创建钱包中的控制之下。链上的关键问题在于，这些XRP是否会到达能够识别并阻止控制者操作的服务平台。

理解8300万美元损失构成的细节

要准确理解这8300万美元的数据含义，有必要将最初的盗窃行为与随后的资金重新分配区分开来。

第一阶段：原始钱包的资金转移

公共区块链记录显示，9月24日，约有1.03亿枚XRP从两个与Bitget关联的XRPL账户转出，抵达地址 rwNhefsz1UQEusxhCvHip3RANinWi4CTck。Arkham已将此地址归类为“Bitget黑客实体”名下。

随后，这笔资金被拆分到五个托管账户中。这一拆分过程证实了XRP的最初去向，但仅凭此无法确定后续每个地址是否属于同一操作者、洗钱中介还是交易所客户。

第二阶段：最新可见的资金动态

截至9月26日，约有5400万枚XRP已离开前五个托管账户。

缺失的信息

公共账本无法确定有多少XRP已被出售，也无法识别新账户背后的最终受益所有者。将所有转账称为“套现”会夸大证据力度。在攻击者控制的钱包之间进行的资金移动本身并不会产生新的抛压。只有当资金流向中心化交易所、场外交易（OTC）柜台、即时兑换服务或其他能将XRP转换为其他资产或法币的网关时，抛售风险才变得更为具体和现实。

Ripple无法冻结原生XRP余额的技术限制

这一限制源于XRP Ledger对其原生资产的处理方式。XRP并非发行型代币，也没有可以列入黑名单的发行方。XRPL文档明确指出，冻结功能适用于通过信任线持有的发行型代币，而非XRP本身。

因此，Ripple、XRPL基金会及验证节点均无权标记这些原生XRP账户为冻结状态。根据当前账本规则，只要账户持有足够的XRP，正常的支付交易依然有效。

可追溯性不等于控制权。

XRP Ledger使所有转账公开透明，但这种透明度并未赋予Ripple没收或锁定他人账户中原生XRP的权力。

与此形成鲜明对比的是此次漏洞事件中稳定币部分的处理情况。据报道，Circle和Tether已冻结了与该事件相关的约32万美元的USDC和USDT。这些资产包含发行方级别的黑名单控制机制，而原生XRP则不具备这一特性。

关键的干预点：交易所充值

一旦XRP到达由交易所控制的地址，问题的性质便从协议规则转变为托管控制权。交易所可以将带有标签的XRP充值与特定客户账户关联，停止提币或交易，保存记录并配合调查人员。

在XRP Ledger上，这一区别尤为相关，因为大型交易所通常使用共享充值钱包。“目的地标签”（Destination Tag）指示交易所应将付款接收至哪个内部客户账户。虽然标签并非个人身份的公开证明，但它创造了一个平台可以将链上充值与其自身客户记录相匹配的节点。

一份9月25日的公共XRPL分析报告追踪了一条从原始托管账户经中间地址流向Binance和MEXC充值基础设施的路径。这并不能证明这些交易所收到了或记入了所有后续转账，在没有公开确认的情况下，也不应描述任何平台已冻结资金。但这确实显示了在大额余额到达退出渠道之前，链上警报的重要性。

托管账户正在迅速清空

由于原始托管账户正在迅速清空，上述交易所检查点变得更加紧迫。数据显示，9月26日UTC时间04:32，这些账户持有约7000万枚XRP。约八小时后，根据审查，余额降至约4900万枚XRP。

另一个值得注意的细节是，一个账户因余额不足未能发送约52.1万枚XRP；而另一个账户在约一小时后向预期接收方发送了相同金额。这种模式支持资金正在被积极重新分配的结论，但并未确立每次转账的原因、特定钱包是否属于洗钱服务，以及有多少XRP已进入市场。这些都需要超出账本本身的证据。

决定的时刻不在于匿名钱包之间的下一次转账，而在于可追溯的XRP余额首次进入一个知晓账户控制者身份并能防止其再次转出的服务的那一刻。

本文仅供参考，不构成财务、投资或法律建议。随着调查的继续，链上余额、钱包标签和交易所行动可能会迅速变化。