速览：美国佛州联邦法院就 BlackCat 勒索案“内鬼”谈判员 Martino 下令没收约 837 万美元加密资产。
一、事件速览：被雇来“谈判”的人，其实在为攻击者工作
2026 年 7 月 19 日晚间（北京时间）之后，BSCN、COINTURK 等多个 X 账号集中披露：美国佛罗里达州南区联邦地区法院下令没收与勒索软件案被告 Angelo Martino 相关的约 837 万美元加密及实物资产（案号 1:26-cr-20065）。
这起案子真正刺痛行业的，不是金额，而是背叛的来源。Martino，41 岁，佛州 Land O'Lakes 人，曾在事件响应公司 DigitalMint 担任勒索软件谈判员，本应代表受害企业与黑客讨价、把赎金压下来。但据美国司法部与法庭文件，他自 2023 年 4 月起反而把客户的保险赔付上限、谈判底线等情报偷偷透露给了 BlackCat/ALPHV 勒索团伙，帮对方抬高赎金并从中分成。
几个需要标注的关键事实：
五家由其负责谈判的受害企业，合计支付赎金约 7,530 万美元。
Martino 就“妨害州际商业的勒索共谋”罪认罪，2026 年 7 月上旬被判 70 个月联邦监禁，并被处以本次资产没收。
两名同案人 Ryan Goldberg、Kevin Martin 已先行认罪，各获约四年监禁。
最易被误读的一点：这是旧案定罪后的司法没收进展，不是 24 小时内新发生的交易所或个人被盗。
内幕如何运作：一个人，两副面孔
DigitalMint 是一家总部位于芝加哥的事件响应与勒索谈判公司，企业遭遇勒索软件时会聘请它出面与黑客周旋。Martino 的岗位本应是“替客户把赎金谈低”，但检方还原的事实恰恰相反：他一边以谈判员身份坐在谈判桌前，一边把同一批客户的底牌递给桌子对面的 BlackCat。
具体手法可拆成三层：
情报泄露：把客户的网络保险赔付上限、可承受的最高金额、内部谈判策略等，直接告诉攻击方，让对方“照着天花板要价”；
亲自下场攻击：检方指控他与另外两名前网络安全从业者合谋，累计参与至少 10 起勒索攻击，而非单纯“通风报信”；
赎金分成变现：从最终支付的赎金中按比例分成，再把所得转换为 BTC、XMR、XRP、XLM、SOL 等多币种资产，以及房产、车辆、摩托艇等实物。
这类“双面人 / 内鬼”之所以最致命，是因为背叛来自受害者在危机时刻最信任的那个人——请来灭火的人，恰恰是纵火者的同伙。这也是本案在网络安全与加密行业同时引发震动的根本原因。
案件时间线复盘
二、攻击与资金链路图
下图梳理本案从攻击、内鬼抬价到赎金分成、再到司法没收的完整链路（部分数字仍属第三方分析口径，最终以官方通告为准）：
没收资产明细（第三方报道口径）：约 90.319 枚 BTC、约 7,999.873 枚 XMR（门罗币）、约 56,174 枚 XRP、约 39,760 枚 XLM，及少量 SOL；另涉两处房产、车辆与摩托艇，合计估值约 837 万美元。各家在小数位与 SOL 数量上略有差异，具体币数与执行状态仍需以法院裁定书 / DOJ 原始文件核验。
三、技术拆解：加密资产到底是怎么被“没收”的？
很多人以为“链上匿名”就能没收，这是误解。加密资产没收本质是一个闭环，缺一不可。
1. 根因：没收的关键不在“看得到”，而在“拿得到”
完整链条是“链上定位 → 归属认定 → 私钥 / 控制权获取 → 合规处置”。可以把它类比为买房：链上分析只能告诉你房子在哪、属于谁，但真要拿下房子，还得拿到那把“钥匙”——也就是私钥或控制权。
2. 为什么连隐私币 XMR 也能被没收？
本案涉近 8,000 枚门罗币（XMR）。XMR 采用环签名、隐蔽地址与保密交易，链上金额与收付双方高度匿名，常规链上分析难以直接穿透。它能被写入没收清单，通常意味着执法已经在链下拿到了关键控制点——比如扣押设备、获取助记词 / 私钥，或通过交易所、OTC 等出入金环节协查。换句话说，隐私币拖垮的不是它本身，而是它迟早要触碰的中心化节点。
3. 不同币种，可追踪性差异很大
本案没收的资产横跨 BTC、XMR、XRP、XLM、SOL 五种币，它们的追踪难度并不相同：
BTC / XRP / XLM / SOL：账本公开透明，地址与交易可被完整回溯，配合交易所 KYC 与地址标注，往往能较清晰地还原资金路径与落地点；
XMR（门罗币）：主打隐私，金额与收付双方被加密隐藏，是本案追踪难度最高的一环，通常只能借助链下控制权（设备、私钥、出入金协查）处置。
这也解释了为什么执法能一次性没收如此多样的资产组合：透明币靠链上追踪定位，隐私币靠链下控制权兜底，两条腿并用，才能把跨越多链的资产一并纳入没收清单。
4. “没收”与“返还”为何不是一回事？
没收令是把赃款判归国家的法律命令；而受害者能否拿回钱，要另走执行与 restitution（退赔）程序，往往更漫长。看到“法院没收”就以为钱已到受害者账上，是典型的误读。
四、德尔泰视角：从“链上取证”看这类案件的处置逻辑
面对勒索、盗币、洗钱这类案件，德尔泰（Delta & Capital）在实务中的关注点通常是：
受害 / 涉案地址全景梳理：第一时间固定地址、交易哈希与时间戳，防止证据灭失。
赃款流向重建：跨链、跨币种还原资金路径，识别归集与兑换节点。
地址簇归并：基于行为特征与共花启发式，将分散地址聚合到同一控制主体。
落地点识别：判断赃款是否进入有实名（KYC）要求的中心化交易所，这是后续协查的抓手。
合规级证据固定：把资金流时间线整理成平台与执法机关能据以行动的报告。
落到具体动作上，德尔泰（Delta & Capital）对被盗 / 涉案资产的处置通常按五步推进：
步骤动作目标① 快速止血第一时间固定被盗 / 涉案地址、交易哈希与时间戳防止证据灭失，争取黄金处置窗口② 全链路追踪跨链、跨币种还原资金流向，识别归集与兑换节点画出完整资金地图③ 地址簇归并基于行为特征与共花启发式，将分散地址聚合到同一控制主体锁定嫌疑主体钱包簇④ 落地点识别定位赃款流入的中心化交易所 / OTC 等可协查落地点为冻结与协查提供抓手⑤ 合规级证据报告输出可用于报案与司法协查的链上证据与技术说明支撑法律程序推进
德尔泰必须坦诚：隐私币与混币、跨链桥会显著抬高链上追踪难度，并非每一笔资金都能链上穿透。因此，对绝大多数用户而言，事前防护的价值，远高于事后追索。
五、给企业与个人的行动清单
• 引入第三方时做好风险隔离：勒索谈判、事件响应引入外部方时，信息隔离、权限最小化、背景审查一个都不能少，警惕“内鬼”抬价；• 发现异常立即固证：第一时间保存地址、交易哈希、时间戳与相关凭证，争取黄金处置窗口；• 大额资产冷存、定期撤销历史授权：降低单点失陷与连带损失风险；• 对官方进展保持理性预期：没收 ≠ 到账，返还需走完司法程序；• 高度警惕二次诈骗：凡先收费、保证追回的，几乎都是冲着让你再被骗一次而来。
六、行业启示：最大的漏洞可能不在代码里
对用户而言，这起案提醒我们：危机时刻被依赖的“专业方”本身也可能是风险源，信任需要流程与风控兼顾。对行业而言，它说明加密犯罪的治理正从“单点封堵”转向“链上取证 + 司法协查 + 出入金风控”的合力；没收能落地，靠的不是单一技术，而是链上与链下证据的打通。
关键概念速查
没收令（Forfeiture Order）：法院裁定将犯罪所得或犯罪工具收归国有的法律命令，不等于资金已变现或已返还。
退赔 / 返还（Restitution）：向受害者补偿损失的司法程序，与没收相互独立、往往更漫长。
隐私币（如 XMR）：通过环签名、隐蔽地址等技术隐蔽金额与地址的加密资产，常规链上分析难以穿透。
地址簇归并（Clustering）：基于共花等启发式将多个地址认定为同一控制主体的分析方法。
KYT（了解你的交易）：交易级反洗钱风控，是赃款落地后追索协查的基础。
常见问题（FAQ）
Q：这次是新的盗币事件吗？
不是。这是 Angelo Martino 勒索软件旧案在定罪之后的资产没收进展，并非 24 小时内新发生的盗币。
Q：约 837 万美元会直接还给受害者吗？
没收令是把赃款判归国家的法律步骤，是否返还、何时返还需另行经过执行与退赔程序，以法院裁定与官方公告为准。
Q：门罗币（XMR）不是号称无法追踪吗，为何能被没收？
XMR 链上确实高度匿名，但资产能被没收，通常意味着执法已通过私钥获取、设备扣押或出入金环节协查等链下手段拿到了控制权。
Q：本文数据可靠吗？
案件主体（定罪、70 个月刑期、泄密抬价、五家受害企业约 7,530 万美元赎金）有美国司法部公告与主流媒体支撑；而 837 万美元的具体币种数量与执行状态目前主要来自对 DOJ 资产没收公告的转述，建议以法院裁定书 / DOJ 原始文件为准。
Q：被盗资产还能追回吗？
取决于赃款是否仍可追踪、是否进入有实名要求的交易所、相关平台与司法程序是否配合。事前防护远比事后追回重要，任何“保证追回”都应保持警惕。
Q：企业遭遇勒索软件，聘请第三方谈判还安全吗？
谈判与事件响应仍是专业且必要的选择，本案是个别从业者的犯罪，不代表整个行业。关键是做好信息隔离、权限最小化、背景审查与多方复核，避免把全部底牌交给单一外部个人。
Q：被盗或涉案后，多久联系专业团队最合适？
越快越好。一般建议在发现后 24–72 小时内固定证据、锁定落地点，处置窗口越早，冻结与追索的成功率越高。
风险与合规提示：本文为反诈与投资者风险教育内容，不构成投资建议，也不构成任何保证追回、保证解冻承诺。数字资产价格波动大、风险较高，请理性看待并防范相关风险；资产被盗 / 被骗请第一时间报案并通过合法途径维权，谨防假冒追回、解冻名义的二次诈骗。