专业黑客团体为隐藏被盗资产，正越来越多地同时使用传统混币器和将 Bitcoin 去中心化兑换为 Monero 的机制。在多起调查中，此类活动被认为与通常归入朝鲜相关集群的团体有关，其中包括 Lazarus Group 及其关联运营者。
EigenWallet（原名 UnstoppableSwap）是这类基础设施中反复出现的组成部分。该平台无需中心化交易所，也无需经过标准客户身份识别程序，即可进行 BTC 与 XMR 的原子交换。Match Systems 专家分析了这套基础设施，并识别出支持此类交换的主要流动性提供模式。
EigenWallet 的工作原理
EigenWallet 是一个用于 Bitcoin 与 Monero 原子交换的非托管平台。其基础设施还可通过 Tor 网络访问，因此更难确定用户的位置和身份。
在传统兑换中，用户把资产交给中心化服务，由该服务接收一种加密货币并发送另一种。原子交换则通过专门的密码学协议，由双方直接完成。交易要么完整执行，要么取消；任何一方都无法在未履行自身义务的情况下获得资产。
这种架构降低了对中心化中介的依赖，却给调查带来重大困难。EigenWallet 并不以传统方式保管用户资金，也不是所有交易的唯一对手方。兑换流动性由独立参与者提供，每个参与者都可能使用自己的基础设施和储备补充方案。
对非法行为者而言，流程如下：BTC 被发送到一次性原子交换充值地址，随后其收到 XMR。Bitcoin 与 Monero 之间不存在直接的交易关联，而 XMR 后续流向又会被 Monero 网络自身的隐私机制所遮蔽。
主要流动性提供模式
Match Systems 的分析显示，外观相同的 BTC 至 XMR 兑换背后可能是不同的流动性提供者。目前至少已识别出六种主要模式，用于处理收到的 BTC 并随后补充 XMR 储备。
第一种模式使用 Lightning Network 和大型中心化交易所。原子交换获得的 BTC 被拆分为较小批次并送入 Lightning Network。为此会开设支付通道，资金随后主要通过与 OKX 和 Kraken 有关联的 Lightning 节点继续处理。据推测，这些中心化交易所用于转换经 Lightning Network 流入的 BTC，并恢复下一轮兑换所需的 XMR 储备。在一组已分析的数据中，该模式占 EigenWallet 活动的大部分。
第二种模式使用专门的去中心化基础设施获取 XMR。流动性提供者先将收到的 BTC 通过跨链协议 MayaChain 和 LiFi 基础设施路由，再把资产转入 Hyperliquid 生态。随后通过专门服务购买 Monero，而无需直接与传统中心化交易所交互。由于资金流分散在多个协议、区块链和技术地址之间，归因难度显著增加。
第三种模式涉及 Wasabi Wallet、Hyperliquid 和 KuCoin。收到的 BTC 首先进入 Wasabi Wallet，输入与输出交易之间的直接关联在此被打断。Match Systems 分析师的去混币结果表明，资金离开混币器后，很可能以每批 0.1–0.25 BTC 进入 Hyperliquid，并在 Arbitrum One 上兑换为 USDT。资产随后以约 10,000–15,000 USDT 为一批转入 KuCoin。据推测，运营者在该交易所购买 XMR，以补充后续原子交换所需的流动性。
第四种模式使用 THORChain、Litecoin 和一家常用的即时兑换服务。BTC 被拆分为约 2,000–3,000 美元的小额资金，再通过 THORChain 兑换为 LTC。之后形成超过 20 笔连续 Litecoin 交易的链条，资金最终进入即时兑换服务购买 XMR。确认过程通过 CPFP（Child Pays for Parent）机制加速。链条最后一笔交易支付更高费用，激励矿工把整组相互关联的未确认交易纳入同一区块。因此，分析人员几乎要到交易确认时才能看到目标交易，而对应的即时兑换订单此时往往已进入处理阶段。运营者还会为每次兑换使用独立会话、代理 IP 地址和一次性 XMR 地址。
第五种模式使用 Remitano 交易所和 NEAR Intents 基础设施。两者承担同一功能：把原子交换获得的 BTC 转换为 BNB Smart Chain 上的资产，主要是 BTCB，也包括 ETH 和 USDT。部分资金经过 Remitano，另一部分经过 NEAR Intents，随后汇集至同一个 MEXC 充值地址。据推测，运营者在该交易所购买 XMR，并补充新一轮原子交换所需的流动性。
第六种模式采用更简单的路径：先使用 THORChain，再将资产转入 KuCoin。该交易所同样可能用于购买 XMR 和补充流动性。
上述模式涉及能够处理单笔 1 BTC 或更大规模原子交换的主要流动性提供者。EigenWallet 生态中也存在处理较小金额的小型提供者。
为何此类方案难以阻断
核心问题在于基础设施具有分布式特征。EigenWallet 提供原子交换的技术机制，实际流动性则来自独立参与者。一个提供者使用 Lightning Network，另一个使用混币器和 Hyperliquid，第三个则使用 THORChain 和 LTC 交易链。
因此，封堵一条路径无法让整个系统停止。提供者可以改变服务顺序、选择另一条区块链，或把流动性重新分配到多个平台。一次性地址、Tor、代理服务器以及单笔交易金额较小，也进一步压缩了可用于响应的时间。
区块链分析面临的新任务
EigenWallet 展示了加密资产洗钱基础设施的变化。如今不再只有一个中心化兑换方，而是形成由独立流动性提供者组成的网络，每个参与者都使用不同的混币器、跨链桥、DEX 协议和交易所组合。
在这种条件下，仅识别原子交换充值地址远远不够。调查人员还必须识别具体的流动性提供者，确定其运营地址，并查明其如何为后续交易购买 XMR。
Match Systems 指出，流动性补充节点——中心化交易所、即时兑换服务和部分跨链协议——仍是此类方案中潜在的薄弱环节。但要成功冻结资金，必须近乎实时地发现交易，并由分析公司、兑换服务与执法机构迅速协作。
随着原子交换日益普及，专业网络犯罪团体很可能更频繁地使用此类平台。因此，调查方法必须从分析单笔交易，转向研究支撑被盗 BTC 兑换为隐私资产的整个流动性经济。
