2026 年 7 月 5 日，长期潜伏在 Solana 生态里的一个旧地址突然“苏醒”：据链上分析平台 Lookonchain 追踪，曾在 2022 年攻击 Solana DeFi 项目 Step Finance 的黑客，在经历约五个月的相对沉寂后，一次性抛售了地址中全部 261,933 枚 SOL，套现约 2,140 万美元。这笔资金随后被快速跨链转移至以太坊网络，在链上完成 12,128 枚 ETH 的集中买入，紧接着又几乎原封不动地被存入隐私混币协议 Tornado Cash。与普通获利了结不同，这条从攻击收益到跨链买入再到隐私混币的完整路径，被明确标注为来自 Step Finance 历史漏洞攻击所得，而 Tornado Cash 本身又因遭美国财政部制裁长期处在舆论与监管的风口，使得这次看似冷冰冰的链上操作，重新把两个老问题拉回台前：一边是 DeFi 项目在安全防护上的旧伤仍在渗血，另一边是隐私协议究竟是用户保护工具还是黑客洗钱庇护所的争议愈发尖锐。
沉寂五个月后突然抛售：黑客的时间选择
据链上分析平台 Lookonchain 披露，这个与 Step Finance 历史攻击关联的地址，在此次行动前大约五个月里没有出现同规模的资产变动，攻击所得的 261,933 枚 SOL 长期原地“躺尸”。这种长时间的相对静默，在叙事上更像是一种刻意的潜伏：既不试探性小额转出，也不分批减仓，而是选择在 2026 年 7 月 5 日这一刻一次性抛售全部筹码，直接套现约 2,140 万美元，从持有状态瞬间切换到清仓离场。
为何选择此时一把清空，不排除黑客综合了多个维度的判断。其一，从市场环境角度看，五个月的等待可能是为了避开某些短期波动，在自认可以接受的价格区间内快进快出；其二，Step Finance 攻击作为旧闻在舆论场的热度已明显退潮，项目方和用户注意力更多被新的安全事件分散，这种“老案子”标签也许被黑客视为干扰度在下降的信号。但更关键的背景是政策风险：Tornado Cash 早已被美国财政部列入制裁名单，围绕其合法性与隐私价值的争论持续至今，黑客仍选择在这一合规阴影未消散的节点，将跨链购得的 12,128 枚 ETH 整体送入 Tornado Cash，显示其对监管威慑的评估更偏向于“可控风险”。在这种时间选择下，这个地址从长期潜伏到突然出手，不仅是一次技术上的洗钱与资产转移操作，也是一场带着主观风险判断色彩的押注，而这一点让监管与市场参与者都不得不重新审视这类长期潜伏地址在未来会如何影响链上风险格局。
从 Solana 到以太坊：赃款跨链路径
在完成 261,933 枚 SOL 的一次性抛售后，这批约 2,140 万美元的筹码并未在 Solana 生态内停留太久。链上记录显示，黑客先在 Solana 侧将 SOL 兑换为更易在多链间流通的“稳定资产”，通过未被公开点名的跨链通道，将筹码从 Solana 主网搬运到以太坊网络。由于简报未披露具体跨链桥或 DEX 名称，当前能够确认的是资金确实完成了从 Solana 到以太坊的跨链迁移，而这一跳，为后续的洗钱路径打通了技术入口。
抵达以太坊后，资金的角色发生转换：黑客用跨链而来的筹码在以太坊端买入了 12,128 枚 ETH，将赃款从“攻击所得的 SOL”转化为“主流链上资产 ETH”，再整体推入 Tornado Cash 之中。据链上分析平台 Lookonchain 的监测，这条路径从资产抛售、跨链迁移到 ETH 购入和混币，形成了一条相对完整的多链链路。跨链桥与多链资产在其中充当了“交通枢纽”的角色，让赃款可以在不同公链间快速切换计价与形态，也显著增加了追踪难度——调查者不仅需要还原单链上的交易链条，还必须在不同网络间对接地址与时间线，才能拼出这条从 Solana 到以太坊再进入隐私协议的完整洗钱路径。
Tornado Cash 在制裁中仍被黑客偏爱
据 AiCoin 整理 Lookonchain 公开链上数据，本次抛售结束后，黑客在以太坊侧用跨链所得资金购入 12,128 枚 ETH，随即整笔存入建立在以太坊上的知名隐私混币协议 Tornado Cash。对于已经被明确标注为来自 Step Finance 历史攻击所得的资产，这一步几乎是教科书式的“标准流程”：通过混币切断地址之间的直接可见联系，让 2022 年的那场攻击与 2026 年 7 月 5 日的集中处置在链上表面上变成两条互不关联的资金故事。
矛盾在于，Tornado Cash 早已被美国财政部列入制裁名单，围绕“代码自由”与“合规责任”的争论持续多年，却仍在多起公开攻击案例的后续资金路径中反复出现，被安全社区视作黑客工具箱中的常备选项。一边是监管高压和合规方的压力，一边是链上用户（包括攻击者）对交易隐私的强烈需求：任何能够在公开账本上制造模糊空间的协议，都在现实使用中获得了顽固的生命力。Step 攻击相关地址这次再次选择 Tornado Cash，不仅是为了掩护赃款走向，也提醒市场，在缺乏更细致的制度与技术安排之前，隐私协议的灰色角色仍将长期存在于攻击、洗钱与普通用户隐私防护的交界地带。
Step Finance 安全旧伤与追偿困局
如果把这次 261,933 枚 SOL 的抛售看成一个终点，它真正的起点其实仍在 2022 年。Step Finance 作为部署在 Solana 生态的 DeFi 项目，当年因漏洞攻击导致大量用户资金被盗，攻击者中的相关地址并未在短期内清仓，而是选择长期持有部分赃款，一直拖到 2026 年才集中出手。据链上分析平台 Lookonchain 披露，本次被抛售并跨链转移的资产，明确标注为当年攻击所得，而非项目正常运营收入，这意味着当前的“套现”并不是普通的资产重组，而是一次迟到四年的犯罪收益处置，旧伤在账本上始终没有痊愈。
从 2022 年事件发生，到 2026 年上半年攻击地址仅零星活动、约五个月保持相对沉寂，再到 7 月 5 日突然抛售全部筹码、跨链购入 12,128 枚 ETH 并迅速存入 Tornado Cash，这条资金路径也在现实层面划出了追偿的边界。一旦赃款经过跨链桥进入另一条公链，再叠加被制裁、争议不断的混币协议进行拆分与混合，项目方和受害用户即便掌握公开链上证据，仍要面对跨法域协作、资产来源认定、执行层面配合等一系列法律与合规障碍。截至当前，公开资料中尚未出现 Step Finance 官方或执法机构对本次抛售与洗钱行为的明确回应，这让用户更直观地看到一个残酷现实：安全事件的后果不会随行情轮回自动消失，只要赃款仍在链上流动，历史攻击就始终以另一种形式持续存在。
隐私协议与项目安全的拉锯仍在继续
从 Step Finance 历史攻击赃款在 Solana 上长期停留，到 2026 年 7 月 5 日一次性抛售 261,933 枚 SOL、跨链换成以太坊上的 12,128 枚 ETH，再整体压入 Tornado Cash，这条资金路径几乎把 DeFi 项目安全、跨链技术与隐私协议的核心矛盾浓缩在同一条链上叙事里：漏洞遗留的资产可以在多年后被重新激活，跨链桥与主流公链提供了便捷的迁移通道，而受争议的隐私混币协议则被黑客用作洗白入口。当前可见的最新一环停在 Tornado Cash，之后是否继续有提现、是否拆分到更多新地址，公开资料尚未给出答案，未来一段时间内，黑客是否从该协议分批提走 ETH、是否出现新的分散赃款地址，都会是值得持续盯盘的链上信号。同样重要的是，Step Finance 是否主动公布安全升级方案、链上追偿路径或其他补救措施，也将直接影响用户对整个 Solana DeFi 安全结构的信心。而在这一过程中，链上分析平台如 Lookonchain 基于公开数据进行溯源，确实为外界提供了极具价值的透明窗口，但在时间延迟、信息完整性和数据解读上仍存在天然局限，本次分析也主要依赖单一监测来源，因此对于黑客的真实动机与后续行动，我们只能在公开地址与资金路径的边界内保持审慎观察态度，提醒读者对任何单一来源数据保持必要的质疑与交叉验证意识。
加入我们的社区，一起来讨论，一起变得更强吧！
AiCoin专属Hyperliquid福利：https://app.hyperliquid.xyz/join/AICOIN88
AiCoin专属Aster福利：https://www.asterdex.com/zh-CN/referral/9C50e2
链上电报（Telegram）社群：https://t.me/AiCoinWhaleData
链上社区：https://www.aicoin.com/link/chat?cid=N6OVMor5g
AiCoin链上推特：https://x.com/aicoinwhaledata
免责声明：本文章仅代表作者个人观点，不代表本平台的立场和观点。本文章仅供信息分享，不构成对任何人的任何投资建议。用户与作者之间的任何争议，与本平台无关。如网页中刊载的文章或图片涉及侵权，请提供相关的权利证明和身份证明发送邮件到support@aicoin.com，本平台相关工作人员将会进行核查。
