速覽：美國佛州聯邦法院就 BlackCat 勒索案“內鬼”談判員 Martino 下令沒收約 837 萬美元加密資產。
一、事件速覽：被僱來“談判”的人，其實在為攻擊者工作
2026 年 7 月 19 日晚間（北京時間）之後，BSCN、COINTURK 等多個 X 賬號集中披露：美國佛羅裡達州南區聯邦地區法院下令沒收與勒索軟件案被告 Angelo Martino 相關的約 837 萬美元加密及實物資產（案號 1:26-cr-20065）。
這起案子真正刺痛行業的，不是金額，而是背叛的來源。Martino，41 歲，佛州 Land O'Lakes 人，曾在事件響應公司 DigitalMint 擔任勒索軟件談判員，本應代表受害企業與黑客討價、把贖金壓下來。但據美國司法部與法庭文件，他自 2023 年 4 月起反而把客戶的保險賠付上限、談判底線等情報偷偷透露給了 BlackCat/ALPHV 勒索團夥，幫對方抬高贖金並從中分成。
幾個需要標註的關鍵事實：
五家由其負責談判的受害企業，合計支付贖金約 7,530 萬美元。
Martino 就“妨害州際商業的勒索共謀”罪認罪，2026 年 7 月上旬被判 70 個月聯邦監禁，並被處以本次資產沒收。
兩名同案人 Ryan Goldberg、Kevin Martin 已先行認罪，各獲約四年監禁。
最易被誤讀的一點：這是舊案定罪後的司法沒收進展，不是 24 小時內新發生的交易所或個人被盜。
內幕如何運作：一個人，兩副面孔
DigitalMint 是一家總部位於芝加哥的事件響應與勒索談判公司，企業遭遇勒索軟件時會聘請它出面與黑客周旋。Martino 的崗位本應是“替客戶把贖金談低”，但檢方還原的事實恰恰相反：他一邊以談判員身份坐在談判桌前，一邊把同一批客戶的底牌遞給桌子對面的 BlackCat。
具體手法可拆成三層：
情報洩露：把客戶的網絡保險賠付上限、可承受的最高金額、內部談判策略等，直接告訴攻擊方，讓對方“照著天花板要價”；
親自下場攻擊：檢方指控他與另外兩名前網絡安全從業者合謀，累計參與至少 10 起勒索攻擊，而非單純“通風報信”；
贖金分成變現：從最終支付的贖金中按比例分成，再把所得轉換為 BTC、XMR、XRP、XLM、SOL 等多幣種資產，以及房產、車輛、摩托艇等實物。
這類“雙麵人 / 內鬼”之所以最致命，是因為背叛來自受害者在危機時刻最信任的那個人——請來滅火的人，恰恰是縱火者的同夥。這也是本案在網絡安全與加密行業同時引發震動的根本原因。
案件時間線復盤
二、攻擊與資金鍊路圖
下圖梳理本案從攻擊、內鬼抬價到贖金分成、再到司法沒收的完整鏈路（部分數字仍屬第三方分析口徑，最終以官方通告為準）：
沒收資產明細（第三方報道口徑）：約 90.319 枚 BTC、約 7,999.873 枚 XMR（門羅幣）、約 56,174 枚 XRP、約 39,760 枚 XLM，及少量 SOL；另涉兩處房產、車輛與摩托艇，合計估值約 837 萬美元。各家在小數位與 SOL 數量上略有差異，具體幣數與執行狀態仍需以法院裁定書 / DOJ 原始文件核驗。
三、技術拆解：加密資產到底是怎麼被“沒收”的？
很多人以為“鏈上匿名”就能沒收，這是誤解。加密資產沒收本質是一個閉環，缺一不可。
1. 根因：沒收的關鍵不在“看得到”，而在“拿得到”
完整鏈條是“鏈上定位 → 歸屬認定 → 私鑰 / 控制權獲取 → 合規處置”。可以把它類比為買房：鏈上分析只能告訴你房子在哪、屬於誰，但真要拿下房子，還得拿到那把“鑰匙”——也就是私鑰或控制權。
2. 為什麼連隱私幣 XMR 也能被沒收？
本案涉近 8,000 枚門羅幣（XMR）。XMR 採用環簽名、隱蔽地址與保密交易，鏈上金額與收付雙方高度匿名，常規鏈上分析難以直接穿透。它能被寫入沒收清單，通常意味著執法已經在鏈下拿到了關鍵控制點——比如扣押設備、獲取助記詞 / 私鑰，或通過交易所、OTC 等出入金環節協查。換句話說，隱私幣拖垮的不是它本身，而是它遲早要觸碰的中心化節點。
3. 不同幣種，可追蹤性差異很大
本案沒收的資產橫跨 BTC、XMR、XRP、XLM、SOL 五種幣，它們的追蹤難度並不相同：
BTC / XRP / XLM / SOL：賬本公開透明，地址與交易可被完整回溯，配合交易所 KYC 與地址標註，往往能較清晰地還原資金路徑與落地點；
XMR（門羅幣）：主打隱私，金額與收付雙方被加密隱藏，是本案追蹤難度最高的一環，通常只能藉助鏈下控制權（設備、私鑰、出入金協查）處置。
這也解釋了為什麼執法能一次性沒收如此多樣的資產組合：透明幣靠鏈上追蹤定位，隱私幣靠鏈下控制權兜底，兩條腿並用，才能把跨越多鏈的資產一併納入沒收清單。
4. “沒收”與“返還”為何不是一回事？
沒收令是把贓款判歸國家的法律命令；而受害者能否拿回錢，要另走執行與 restitution（退賠）程序，往往更漫長。看到“法院沒收”就以為錢已到受害者賬上，是典型的誤讀。
四、德爾泰視角：從“鏈上取證”看這類案件的處置邏輯
面對勒索、盜幣、洗錢這類案件，德爾泰（Delta & Capital）在實務中的關注點通常是：
受害 / 涉案地址全景梳理：第一時間固定地址、交易哈希與時間戳，防止證據滅失。
贓款流向重建：跨鏈、跨幣種還原資金路徑，識別歸集與兌換節點。
地址簇歸併：基於行為特徵與共花啟發式，將分散地址聚合到同一控制主體。
落地點識別：判斷贓款是否進入有實名（KYC）要求的中心化交易所，這是後續協查的抓手。
合規級證據固定：把資金流時間線整理成平臺與執法機關能據以行動的報告。
落到具體動作上，德爾泰（Delta & Capital）對被盜 / 涉案資產的處置通常按五步推進：
步驟動作目標① 快速止血第一時間固定被盜 / 涉案地址、交易哈希與時間戳防止證據滅失，爭取黃金處置窗口② 全鏈路追蹤跨鏈、跨幣種還原資金流向，識別歸集與兌換節點畫出完整資金地圖③ 地址簇歸併基於行為特徵與共花啟發式，將分散地址聚合到同一控制主體鎖定嫌疑主體錢包簇④ 落地點識別定位贓款流入的中心化交易所 / OTC 等可協查落地點為凍結與協查提供抓手⑤ 合規級證據報告輸出可用於報案與司法協查的鏈上證據與技術說明支撐法律程序推進
德爾泰必須坦誠：隱私幣與混幣、跨鏈橋會顯著抬高鏈上追蹤難度，並非每一筆資金都能鏈上穿透。因此，對絕大多數用戶而言，事前防護的價值，遠高於事後追索。
五、給企業與個人的行動清單
• 引入第三方時做好風險隔離：勒索談判、事件響應引入外部方時，信息隔離、權限最小化、背景審查一個都不能少，警惕“內鬼”抬價；• 發現異常立即固證：第一時間保存地址、交易哈希、時間戳與相關憑證，爭取黃金處置窗口；• 大額資產冷存、定期撤銷歷史授權：降低單點失陷與連帶損失風險；• 對官方進展保持理性預期：沒收 ≠ 到賬，返還需走完司法程序；• 高度警惕二次詐騙：凡先收費、保證追回的，幾乎都是衝著讓你再被騙一次而來。
六、行業啟示：最大的漏洞可能不在代碼裡
對用戶而言，這起案提醒我們：危機時刻被依賴的“專業方”本身也可能是風險源，信任需要流程與風控兼顧。對行業而言，它說明加密犯罪的治理正從“單點封堵”轉向“鏈上取證 + 司法協查 + 出入金風控”的合力；沒收能落地，靠的不是單一技術，而是鏈上與鏈下證據的打通。
關鍵概念速查
沒收令（Forfeiture Order）：法院裁定將犯罪所得或犯罪工具收歸國有的法律命令，不等於資金已變現或已返還。
退賠 / 返還（Restitution）：向受害者補償損失的司法程序，與沒收相互獨立、往往更漫長。
隱私幣（如 XMR）：通過環簽名、隱蔽地址等技術隱蔽金額與地址的加密資產，常規鏈上分析難以穿透。
地址簇歸併（Clustering）：基於共花等啟發式將多個地址認定為同一控制主體的分析方法。
KYT（瞭解你的交易）：交易級反洗錢風控，是贓款落地後追索協查的基礎。
常見問題（FAQ）
Q：這次是新的盜幣事件嗎？
不是。這是 Angelo Martino 勒索軟件舊案在定罪之後的資產沒收進展，並非 24 小時內新發生的盜幣。
Q：約 837 萬美元會直接還給受害者嗎？
沒收令是把贓款判歸國家的法律步驟，是否返還、何時返還需另行經過執行與退賠程序，以法院裁定與官方公告為準。
Q：門羅幣（XMR）不是號稱無法追蹤嗎，為何能被沒收？
XMR 鏈上確實高度匿名，但資產能被沒收，通常意味著執法已通過私鑰獲取、設備扣押或出入金環節協查等鏈下手段拿到了控制權。
Q：本文數據可靠嗎？
案件主體（定罪、70 個月刑期、洩密抬價、五家受害企業約 7,530 萬美元贖金）有美國司法部公告與主流媒體支撐；而 837 萬美元的具體幣種數量與執行狀態目前主要來自對 DOJ 資產沒收公告的轉述，建議以法院裁定書 / DOJ 原始文件為準。
Q：被盜資產還能追回嗎？
取決於贓款是否仍可追蹤、是否進入有實名要求的交易所、相關平臺與司法程序是否配合。事前防護遠比事後追回重要，任何“保證追回”都應保持警惕。
Q：企業遭遇勒索軟件，聘請第三方談判還安全嗎？
談判與事件響應仍是專業且必要的選擇，本案是個別從業者的犯罪，不代表整個行業。關鍵是做好信息隔離、權限最小化、背景審查與多方複核，避免把全部底牌交給單一外部個人。
Q：被盜或涉案後，多久聯繫專業團隊最合適？
越快越好。一般建議在發現後 24–72 小時內固定證據、鎖定落地點，處置窗口越早，凍結與追索的成功率越高。
風險與合規提示：本文為反詐與投資者風險教育內容，不構成投資建議，也不構成任何保證追回、保證解凍承諾。數字資產價格波動大、風險較高，請理性看待並防範相關風險；資產被盜 / 被騙請第一時間報案並通過合法途徑維權，謹防假冒追回、解凍名義的二次詐騙。