Mt.Gox：85 万枚比特币的沉没史（2010–2024）

引子：一个不该叫这个名字的地方

Mt.Gox 这个名字第一次出现在互联网上，是 2007 年。Jed McCaleb 写了一个网站，让《魔法风云会·万智牌》（Magic: The Gathering）的玩家把自己的数字卡牌挂上去交易。网站的名字是 "Magic: The Gathering Online Exchange"，缩写成 MTGOX。当时还没有比特币，更没有"加密交易所"这个词。

这个名字后来一直没有改。等到它成为全球最大的比特币交易所、处理着全球 70% 以上的比特币交易时，用的还是这个缩写。

2014 年 2 月，公司公告丢失约 85 万枚 BTC。之后债权人走了 10 年法律程序，2024 年 7 月基础分发开始；按 BTC 数量拿回来的那部分币，按 2024 年的币价算，比当年存进去时值钱得多。

本卷按时间顺序写：这家交易所怎么来的、怎么占下大半个市场、从哪里开始丢币、最后怎么倒下。其中三件事单独展开：

• 2011 年 6 月那次把价格从 17 美元砸到 1 美分的入侵，以及同年 9 月热钱包私钥被盗（第一、三节）。
• transaction malleability——Mt.Gox 官方给出的解释，它到底能解释多少（第四节）。
• Wizsec / Kim Nilsson 的链上取证——把被盗币的去向追到了 BTC-e（第七节）。

第六节拿 2018 年的 BitGrail 做对照；第十节写分发进行到了哪一步，还有什么没了结。

一、卡牌交易所怎么变成比特币交易所

从卡牌站到比特币交易站（2007–2010）

2007 年的 Jed McCaleb 是一个连续创业者，做过 eDonkey2000（早期 P2P 文件分享网络）和 Overnet。MTGOX 是他给《魔法风云会》卡牌交易做的网站，没做起来就停了。

2010 年 7 月，他在 Slashdot 上读到比特币的消息，随后把 MTGOX 这个旧域名拿来改做比特币交易站；7 月 18 日，Mt.Gox 作为比特币交易站上线。这个名字不是为加密设计的，只是因为域名碰巧还在手里。

Karpelès 接手（2011.03）

2011 年 3 月，McCaleb 把网站卖给了住在东京的法国程序员 Mark Karpelès。McCaleb 自己后来去做了 Ripple 和 Stellar。Karpelès 把 Mt.Gox 做成了一家日本株式会社，办公室在东京涩谷。

2011 年 6 月 19 日：第一次大入侵

2011 年 6 月 19 日，攻击者用从 Mt.Gox 一名审计人员被入侵的电脑上拿到的凭证进了系统，挂出巨额卖单，把 Mt.Gox 上的比特币价格从 17 美元一路砸到 0.01 美元。事后 Mt.Gox 的处理方式是回滚交易，把价格突变后产生的撮合记录撤销。

同一年 9 月还有一件影响更大的事：Wizsec 2017 年的复盘报告写明，2011 年 9 月 Mt.Gox 热钱包的私钥被盗，方式就是一份被复制走的 wallet.dat 文件（第三节细讲）。报告还交代了账目后来是怎么继续失衡的：因为地址被反复使用，Mt.Gox 的系统把小偷花出去的一部分币误判成了入金，给多个用户账户记上了大额 BTC，账面失衡又因此多了约 4 万枚 BTC。

二、它怎么吃下全球 70% 的交易量

Mt.Gox 在 2011-2013 之间能吃下全市场，主要靠三件事：

1. 先发优势。它在 2010 年 7 月就上线，比 BTC-e、Bitstamp 早一整年。早期用户认账户名，不认平台资质。在 2011 年初的整个比特币交易世界里，Mt.Gox 几乎是唯一的"有名字的地方"。
2. 美元法币入金。Mt.Gox 能直接用美元入金，美国的 Dwolla 就是它接入的通路之一。
3. 价格指数地位。2012-2013 年大多数财经媒体引用的"比特币价格"，默认引的就是 Mt.Gox 的价格。这又反过来吸引了更多交易者。

这三件事环环相扣。先发优势让 Mt.Gox 拿到了第一批做市商和大户；做市商和大户带来了深度；深度带来了"最准的价格"；最准的价格让财经媒体引用；财经媒体的引用又带来新用户。整个循环在 2011-2013 年滚出了一个近乎垄断的地位。

2013 年 4 月 10 日，Mt.Gox 行情挂出 266 美元的高点。随后 Mt.Gox 在 4 月 11 日到 12 日暂停交易，说是让市场"冷静"一下。

同年 5 月，美国国土安全部扣押了 Mt.Gox 在 Dwolla 的账户（见下一节）；6 月 20 日，Mt.Gox 暂停了美元提现。

此后提现延迟的抱怨越来越多。这是外部最早能观察到的信号。

三、裂缝从哪里开始

这个问题至今还有争议。Wizsec 的调查认为，热钱包的失窃从 2011 年就已经开始，持续到 2013 年年中。Karpelès 在庭审中坚称大部分丢币发生在他不知情的情况下。

2011 年 9 月被复制走的热钱包

Wizsec 2017 年发表的复盘写明：2011 年 9 月，Mt.Gox 热钱包的私钥被盗，方式很简单，就是一份被复制走的 wallet.dat 文件。此后小偷一直能动用这些私钥控制的币；到 2013 年年中，这些私钥上能花的币已经基本被掏空，小偷从 Mt.Gox 取走了约 63 万枚 BTC。

这意味着，Mt.Gox 的账面和链上钱包的真实余额，在这两年里越拉越开；公司是什么时候知情的，没有定论。

2013 年：美国国土安全部扣押账户

2013 年 5 月，美国国土安全部以"未注册资金转移业务"为由，开始扣押 Mt.Gox 美国子公司的资金：到 8 月，从 Dwolla 账户扣走约 290 万美元，从 Wells Fargo 账户扣走约 210 万美元。

回头看，这是 Mt.Gox 在那一年收到的第一个来自官方的风险信号，比它倒下早了九个月。

同一个月，CoinLab 起诉 Mt.Gox，索赔 7500 万美元。诉讼理由是 Mt.Gox 违反了 2012 年签的"美国市场独家代理协议"。这笔索赔后来成了 Mt.Gox 破产程序里拖得最久的一笔债权。

2011–2013 年间被陆续偷走的约 63 万枚 BTC

Wizsec 在 2017 年 7 月发布的复盘报告 "Breaking Open the MtGox Case" 把这条线讲得很清楚：失窃从 2011 年 9 月开始，到 2013 年年中基本停下，前后约 63 万枚 BTC。按这份报告，问题不是 2014 年 2 月突然出现的，币从 2011 年起就在流失，持续了近两年。

关于这些币的去向，Wizsec 的报告写明：约 30 万枚 BTC 经过 Vinnik 的钱包，最后进了 BTC-e 交易所。据美国司法部起诉书，BTC-e 通过空壳公司 Canton Business Corporation 运营。2017 年 7 月，被美国指控为 BTC-e 运营者之一的 Alexander Vinnik 在希腊被捕（详见第七节链上调查专章）。

四、transaction malleability：Mt.Gox 的官方解释站不站得住

这一节单独讲 Mt.Gox 自己给出的解释。2014 年 2 月停止提币时，它的公开声明把问题归到了一个叫 "transaction malleability"（交易延展性）的协议级 bug 上。

什么是 transaction malleability

比特币里每一笔交易都有一个唯一 ID（txid），是这笔交易序列化数据的 SHA-256 哈希。理论上，相同的交易应该有相同的 ID。

但 2010-2013 年的比特币协议里，交易的签名部分允许多种合法表达——也就是说，同一笔交易可以用几种不同但都合法的 DER 编码格式来表示签名。每种格式的字节序列不同，所以 SHA-256 哈希也不同，导致 txid 不同。

这件事的后果是：

• 用户 A 给交易所 B 发了一笔 1 BTC，txid 是 abc123。
• 一个中间人观察到这笔交易在 mempool 里还没确认，他用另一种合法 DER 编码重新发布这笔交易，新 txid 是 def456。
• 有时候 def456 先被矿工打包进区块，abc123 因为输入已被花费而失效。
• 用户 A 用 abc123 去问交易所"我转过来了没"，交易所看不到 abc123 上链，误以为交易失败。

这个 bug 真实存在，比特币社区从 2011 年就在讨论它。

Mt.Gox 的说法，和它解释不了的地方

Mt.Gox 2014 年 2 月 10 日的新闻稿把问题归到 malleability：意思是攻击者改了 txid，让系统误以为提现失败，于是又重发了一笔。

这个解释技术上是有可能发生的。但有几处对不上：

1. 稳妥的提现系统应该检查 UTXO 是否已花费，而不是只看 txid 有没有上链。UTXO 是不可被 malleate 的，一旦花费就花了。
2. malleability 攻击的可观察窗口非常短。从交易广播到上链通常只有 10 分钟。攻击者要在这 10 分钟里发现交易、构造变体、抢先广播，然后等矿工选中变体。每次攻击成功率不高，单次能弄走的金额也有限。要靠这种方法弄走几十万枚 BTC，需要持续攻击成千上万次，会留下大量链上痕迹。
3. 时间对不上。Wizsec 2017 年的链上调查显示，约 63 万枚 BTC 是 2011 年 9 月到 2013 年年中从热钱包里被偷走的，比 2014 年 2 月的 malleability 风波早得多，不能用 malleability 解释。

换句话说：malleability bug 真实存在，但它只能解释总损失里很小的一部分，解释不了"账面早就和真实余额脱钩"这个更大的事实。

不写代码的话，可以这样理解：malleability 像是门锁的钥匙孔有点歪，是一个真实但不大的缺陷；它解释不了整栋房子为什么空了。

比特币社区后来怎么修的

针对 malleability，比特币社区后来走过两条修复路径：

• BIP62（2014 提案）——尝试通过限制签名编码格式来消除 malleability。这个 BIP 后来被弃用，原因是它只能解决"第三方 malleability"，解决不了"交易发起方主动 malleability"。
• SegWit（2017 年 8 月激活）——通过把签名数据从交易主体里分离（segregated witness），让 txid 不再包含签名哈希。这是彻底解决方案。

五、沉船那一周

2014 年 2 月 7 日，Mt.Gox 关停所有 BTC 提币功能。2 月 10 日，官方给出的理由是上一节讲的"交易延展性 bug"。

延展性 bug 确实存在，同期也影响了别的交易所：Bitstamp 暂停过几天，发了补丁就恢复了；Mt.Gox 暂停之后，再也没恢复。

这一周里，英国程序员 Kolin Burges 从伦敦飞到东京，举着写有 "Mt.Gox: where is our money" 的牌子，站在 Mt.Gox 所在的涩谷办公楼下抗议。

2014 年 3 月 20 日：旧钱包里找回约 20 万枚 BTC

2014 年 3 月 20 日，Mt.Gox 在官网上公告，在一个 2011 年 6 月以前用过的旧格式钱包里找回了 199,999.99 枚 BTC。这约 20 万枚 BTC 成了后来分发的基础资金池。

六、对照：2018 年的 BitGrail

七、链上考古：Wizsec、Kim Nilsson 与 BTC-e 的资金流

Mt.Gox 这件事里还有一条线：独立调查者用公开的链上数据把被盗 BTC 的去向拼了回来。这条线把被盗币追到了 BTC-e；被美国指控为其运营者之一的 Alexander Vinnik 2017 年在希腊被捕，2024 年在美国认罪（他在法国被判的是 Locky 勒索软件相关的洗钱，与 Mt.Gox 无关）。

Wizsec 是谁

Wizsec 是东京的一家安全公司，追 Mt.Gox 丢币的主力是瑞典工程师 Kim Nilsson，Wizsec 2017 年那篇复盘就是他写的。他没有走诉讼的路，而是从公开的链上数据一路追钱，最后追到了 BTC-e。

这类链上追踪的基本做法是：

1. 第一步：把 Mt.Gox 已知的钱包地址作为种子。
2. 第二步：追溯从这些地址流出的所有 BTC，看它们流向了哪些下一跳地址。
3. 第三步：对下一跳地址做"使用模式聚类"——比如同时输入多个 input 的交易，意味着这些 input 在同一私钥控制下（common-input-ownership heuristic）；同一时间窗口、同一脚本模板的转出，意味着同一钱包。
4. 第四步：用聚类结果识别出"中间洗币地址簇"，再追溯这些地址簇最终流向了哪些已知交易所的存款地址。

2017 年 7 月那份报告

Wizsec 2017 年 7 月发布的 "Breaking Open the MtGox Case" 是这个事件最重要的链上取证报告。它的核心发现是：

• 2011 年 9 月，Mt.Gox 热钱包的私钥随一份被复制走的 wallet.dat 文件被盗；到 2013 年年中，小偷从 Mt.Gox 取走了约 63 万枚 BTC。
• 其中约 30 万枚经过 Vinnik 的钱包，最后进了 BTC-e 交易所。

Alexander Vinnik 的案子

Alexander Vinnik 是俄罗斯公民。2017 年美国司法部的起诉书把他列为 BTC-e 的运营者之一。

2017.07 Vinnik 在希腊被捕。美国的起诉涉及洗钱、非法经营资金转移业务等 21 项罪名。

2017-2020 美国、法国、俄罗斯都要求希腊引渡他。

2020.01.23 被从希腊引渡到法国。2020 年 12 月巴黎法院判他洗钱罪成立，处 5 年有期徒刑和 10 万欧元罚金，Locky 勒索软件相关的敲诈指控未获支持。法国这桩案子围绕的是 Locky 勒索软件相关的洗钱，与 Mt.Gox 案无关。

2022.08 Vinnik 从希腊被引渡到美国，就 2017 年的起诉首次在美国联邦法院出庭。

2024.05 Vinnik 就与经营 BTC-e 相关的洗钱共谋罪认罪。美国司法部称他须对至少 1.21 亿美元的损失负责。

2025.02.12 美国政府宣布释放 Vinnik，换回被关押在俄罗斯的美国教师 Marc Fogel，Vinnik 次日回到莫斯科。

八、四种视角：用户、Karpelès、法庭、调查者

前面几节是按时间线讲的。同一件事，站在不同的位置看到的不一样，这一节分四个位置各讲一遍。

视角一：用户

假设你是 Mt.Gox 的用户，这件事是这样展开的：

• 2 月 7 日 BTC 提币暂停。
• 2 月 10 日官方把问题归到 malleability bug，听上去是等几天就能修好的技术问题。
• 2 月 24 日 Mt.Gox 暂停全部交易，几小时后网站离线；同一天，一份 "Crisis Strategy Draft" 流出。
• 2 月 28 日公司称丢失约 85 万枚 BTC。
• 之后 10 年破产与更生程序一直在走。
• 2024 年 7 月基础分发开始。按 BTC 数量拿回的那部分币，按 2024 年的币价算，比 2014 年存进去时值钱得多。

视角二：Karpelès

Karpelès 这边的说法不一样。他始终否认自己主动盗窃 BTC，坚称大部分丢币发生在他不知情的情况下。日本法庭的判决是：业务上横领罪（侵占）无罪，私电磁记录不正作出罪（篡改系统数据）有罪。

视角三：法庭 / 破产管理人

这条线主要是小林信明（Nobuaki Kobayashi）律师，2014 年起担任 Mt.Gox 的破产管理人。从 2014 到 2026，这个案子 12 年还没完全结束。

这些年里的几件大事：

• 2014-2015 接收 Mt.Gox 的资产（包括在旧钱包里找回的约 20 万枚 BTC）。
• 2017-2018 卖出了一部分 BTC 和 BCH 换成日元。
• 2018 程序从"破产"转回"民事更生"。按破产程序，债权人拿到的是按 2014 年价格折算的日元；转成民事更生后，债权人可以按 BTC 的数量拿回币。
• 2021 债权人大会通过最终更生计划。这个计划有两个选项："早期一次性"接收，金额低但快；"中期分批"接收，金额高但慢。
• 2024-2026 基础分发。

债权人最后能按币的数量拿回 BTC，靠的就是这条法律程序。

视角四：调查者

调查者这一边，第七节已经讲了 Kim Nilsson 和 Wizsec。另一个和这件事有关的人是 Kraken 创始人 Jesse Powell：2011 年 6 月 Mt.Gox 第一次被黑之后，他去过东京帮忙；2024 年 Mt.Gox 分发时，Kraken 是债权人可以指定的收款交易所之一。

九、十二年还没走完的程序

Mt.Gox 的破产程序，从 2014 年 4 月 24 日东京地方法院裁定民事更生失败、转入破产程序起算。到 2026 年 5 月，这是一场已经走过 12 个年头、还在继续走的程序。几个关键节点：

2018 年"破产转民事更生"：整个程序最大的拐点

如果按破产程序走，债权人能拿到的是按 2014 年 BTC 价格折算的日元；民事更生程序则允许债权人按 BTC 实物数量分账。债权人按 BTC 数量拿回的那部分币，到 2024 年实际分发时，按美元算已经比当年存进去时值钱得多。

Karpelès 在日本的刑事审判（2015-2019）

2019 年 3 月 15 日（东京时间），东京地方法院一审宣判（法新社当日报道，phys.org 转载；虚增金额见维基百科 · Mark Karpelès 词条）。起诉罪名包括：

• 业务上横领罪（業務上横領罪）——指控 Karpelès 把约 3.41 亿日元的用户存款挪到了自己个人账户。
• 私电磁记录不正作出罪（私電磁的記録不正作出罪）——指控 Karpelès 篡改 Mt.Gox 系统里的数据，把账面余额虚增了约 3,350 万美元。

判决结果：

• 业务上横领罪等其余指控——无罪。
• 私电磁记录不正作出罪——有罪。判处 2 年 6 个月有期徒刑，缓刑 4 年。

十、分发进行到哪一步（2026 年 10 月核对）

公开可查的信息如下：

• 基础分发开始前，信托人小林信明手中的 BTC 约 14.2 万枚，2024 年 7 月起陆续分发给债权人
• 2025 年 10 月 27 日，更生管财人公告把基础分发、早期一次性分发、中间分发的期限从 2025 年 10 月 31 日延到 2026 年 10 月 31 日（日本时间）（管财人 2025.10.27 公告）
• 2026 年 10 月 16 日，管财人经法院许可，把这三类分发的期限再延到 2027 年 10 月 31 日（日本时间），原因是仍有不少债权人没办完领款手续，或在还款过程中出了问题（这次改期与没收到款项的人怎么咨询）。之后是否再变，以 www.mtgox.com 的公告为准

每一轮分发前后，市场都会担心信托人卖币导致下跌。实际的分发方式是，信托人把 BTC 转进债权人指定的几家交易所地址，是否卖出由债权人自己决定。

CoinLab 的争议

破产程序里拖得最久的一笔债权来自 CoinLab——一家 2012 年签了"Mt.Gox 美国市场独家代理"合同的美国公司。2013 年 5 月 CoinLab 在西雅图联邦法院起诉 Mt.Gox，索赔 7500 万美元。

2021 年 1 月 15 日，彭博社报道 CoinLab 已与管财人小林信明、Fortress 旗下的 Mt. Gox Investment Fund 达成协议，按这份协议，破产程序里剩余比特币最多约九成可以分给债权人（维基百科 · Mt. Gox 词条）。同年 10 月，更生计划获债权人通过。

十一、从 Mt.Gox 能带走的几条判断

提到 Mt.Gox，常听到的教训是两条：私钥别放交易所、CEX 不可信。下面几条更具体一些：

1. 没有独立对账的交易所，账歪了自己都未必知道。Mt.Gox 从 2011 年 9 月起被人从热钱包里陆续偷走约 63 万枚 BTC，公司何时知情没有定论。判断一家所，先看它有没有独立第三方出具的报告、储备能不能在链上交叉验证。考古课 · 第二课把这类判断展开成了五条可以逐条去查的标准。
2. 监管机构的第一次动作，值得单独记一笔。Mt.Gox 2013 年 5 月被美国国土安全部扣押账户，比它倒下早了九个月。今天哪家所收到监管机构的传票、罚单或警告，都值得你单独标记。
3. 看到"暂停提币"的公告，先当成出了大问题来对待。Bitstamp 2014 年暂停提币几天后恢复；FTX、Celsius、Voyager、BitGrail、QuadrigaCX 暂停之后都没有再恢复。如果你在某家所看到"暂停提币"公告，还能提的资产尽快转走，剩下的要做好很可能拿不回来的准备。
4. 听一家所的负责人谈风控，看他给的是机制还是形容词。说得出对账频率、审计是谁做的、储备证明多久发一次，这是机制；只会说"我们高度重视安全"，这是形容词。光听不够，还要看他拿不拿得出可核验的东西。
5. 口头保证不算数，要看可验证的东西。SBF 2022 年 11 月 7 日发推说 "FTX is fine. Assets are fine"，四天后 FTX 申请破产。判断一家所会不会把问题修好，看它有没有给出能在链上验证的证据。
6. 把单一交易所里的持仓，控制在你能完全失去的金额之内。提现延迟这类小信号出现的时候，就该动手减仓，不必等到公告。