AMLBot 2026 年报告对无 KYC 兑换用户意味着什么

10 月 16 日，区块链分析公司 AMLBot 发布了《Crypto Investigations Report 2026》的摘要。报告涵盖该公司在 2026 年 1 月 1 日至 10 月 13 日期间调查的 250 多起加密犯罪案件，报告损失 2.916 亿美元：1 月至 9 月为 2.275 亿美元，10 月前 13 天新立案件为 6410 万美元（AMLBot）。

它与常见的年度统计不同之处在于数据来源。大多数案件由受害者本人——个人、企业和交易所——提交，因此报告展示的是加密犯罪如何触及普通用户，而不仅仅是登上头条的黑客事件。AMLBot 自己也说明了局限：损失是受害者立案时报告的金额，而付费请人调查的人，损失往往高于平均水平。

报告发现了什么？

• 报告损失持续增长，典型案件却在变小。 损失从第一季度的 6290 万美元增至第二季度的 7590 万美元和第三季度的 8870 万美元，而损失中位数从第二季度的 22.3 万美元降至第三季度的 11.3 万美元。总额由少数超大案件推高。
• 黑客攻击少见，但代价高昂。 第三季度黑客攻击占案件的 19%，却占报告损失的 40%（3590 万美元）。黑客攻击的中位数为 35.9 万美元，而网络钓鱼和钱包被盗为 8.5 万美元。
• 人是主要目标。 1 月至 9 月，网络钓鱼、钱包被盗、诈骗和社会工程占案件的 72%。77% 的案件以个人用户为目标。
• 对交易所而言，威胁来自黑客攻击。 中心化交易所占案件的 7%，却占报告损失的 18.8%；在涉及交易所和其他托管服务的案件中，81% 是黑客攻击或漏洞利用。
• 比特币案件较少，但金额更大。 比特币出现在 20% 的案件中，在最常涉及的四条网络中损失中位数最高，为 36.4 万美元。出现最多的是 Ethereum（36%）和 TRON（33%）——USDT 的两大主要网络。

如果你在不做 KYC 的情况下兑换，这为何重要？

有一项发现关乎资金流动而非损失：AMLBot 的调查人员看到，被盗稳定币被迅速转换成 BTC 和 ETH，通过去中心化交易所和跨链路径，让任何发行方都来不及冻结。报告建议受害者在数小时内提交冻结请求，因为这个窗口关闭得很快。

这些路径——稳定币进、原生币出，有时还跨越多条链——正是即时兑换为所有其他人做的事情。因此许多兑换服务会筛查转入的币，也因此一笔完全普通的兑换可能会在存款后被扣留：如果你的币曾经过被黑或被标记的地址附近，服务的筛查合作方可能会暂停订单并询问资金来源。这是我们读到最多的投诉，也是我们在每篇评测中逐字引用该服务 KYC 和筛查条款的原因。

报告中关于交易所的数据从另一面指向同一结论。如果 81% 的交易所案件是黑客攻击，那么兑换期间谁持有你的币就很重要。非托管路径让这个窗口保持很短；托管路径则要求你在订单进行期间信任运营方的钱包。

本周这个领域还发生了什么？

• Pirate Chain（ARRR），10 月 14–15 日。 攻击者利用该网络 Ironwood 升级（10 月 3 日启用）中的两个验证漏洞，在该币自己的隐私池内凭空造出约 3980 万枚 ARRR——约占供应量的五分之一。团队起初提议将链回滚到 10 月 14 日，但当天就放弃了这一计划，称去中心化网络不能单方面回滚（Startup Fortune）。如果你持有或兑换 ARRR，发送前请先确认你的兑换服务是否已暂停该币。
• Drift Protocol，10 月 20–21 日。 与今年 4 月该 Solana 交易所被黑相关的钱包在两天内将约 44,510 枚 ETH（约 1.09 亿美元）转入 Tornado Cash；Drift Foundation 在 10 月 1 日表示，约 2.95 亿美元被盗资金中已冻结约 920 万美元（Crypto Briefing、The Crypto Times）。筛查工具盯的正是这类大额资金流——它们也会让之后从附近经过的币显得有风险。
• PHP2Shell，自 10 月 21 日起。 PHP 中的两个严重漏洞（CVE-2026-109618 和 CVE-2026-109619，CVSS 9.2）允许在 PHP 服务器上远程执行代码，在补丁发布前就已出现利用尝试（CoinGape）。智能合约和冷钱包不受影响；基于 PHP 的兑换服务网页前端和后台可能受影响。我们的网站不使用 PHP。

下一次兑换前该做什么？

1. 先阅读服务关于 KYC 和筛查的条款——在我们的评测中这些条款被逐字引用，并注明条款编号和我们最后一次阅读的日期。
2. 优先选择托管时间短的方式。 非托管路径，以及会说明兑换期间由谁持有币的服务，承担的报告中所述风险更少。
3. 在从未用过的服务上先发送一小笔，并保留订单号和交易哈希，直到币到账。
4. 如果兑换被扣留， 请参阅我们的指南无 KYC 交易所冻结了你的资金该怎么办——并立即记录一切，因为正如报告所说，挽回的窗口以小时计。