波兰交易所 Zondacrypto 两任负责人先后失踪：私钥单人控制与牌照撤销暴露 VASP 托管合规的致命漏洞

Aiying 艾盈是一家专注于传统金融及Web3的合规咨询服务机构，本文为团队原创，转载需授权。

波兰加密交易所 Zondacrypto（前身 BitBay）在四年里先后「失踪」了两任负责人：创始人 Sylwester Suszek 2022 年失踪至今，继任者 Przemysław Kral 自今年 4 月后也不再公开露面。交易所网站 4 月关闭、客户提款被冻结，爱沙尼亚金融情报机构（FIU）于 6 月 29 日撤销了其运营主体的虚拟资产服务牌照。这一连串事件，把 VASP 托管合规里最致命的一个漏洞——私钥单人控制——彻底暴露在聚光灯下。

发生了什么

两任负责人四年内先后失踪

据《纽约时报》8 月 23 日发布的调查报道，Zondacrypto 创始人 Sylwester Suszek 于 2022 年 3 月 10 日在前往波兰南部 Czeladź 见商业伙伴的途中失踪，家人曾收到声称其被绑架、要求支付比特币赎金的信息；其商业伙伴 Marian Wszolek 后来被控有组织犯罪、增值税欺诈、洗钱及非法剥夺人身自由等罪名，随后也下落不明。Suszek 至今未被找到。

热钱包 BTC 跌去 99.7%、牌照被撤销

接任管理公司的律师 Przemysław Kral，最后一次通过社交媒体发声是今年 4 月 16 日，之后连续数月无公开露面。此前他曾向客户保证，交易所持有约 4,500 枚 BTC（价值约 3.3 亿美元），但只有已失踪的 Suszek 掌握相关钱包的访问密钥。交易所网站于 4 月 23 日关闭，客户提款被冻结；区块链取证机构 Recoveris 的链上分析显示，其可识别热钱包中的 BTC 从 2024 年 8 月约 55.7 枚降至 2026 年 3 月的 0.18 枚，跌幅 99.7%。波兰卡托维兹地区检方已对 Zondacrypto 涉嫌欺诈及洗钱展开调查，截至 6 月已收到逾 3,600 份受害者报案，路透社估算客户损失超过 3.5 亿兹罗提（约 9,600 万美元）。Recoveris 还发现，2025 年 12 月中旬至 2026 年 4 月初，Zondacrypto 钱包向 Kraken 的充值地址发起了约 511 笔、合计约 2,100 万美元的转账，公司关联代币 ZND 的价格则暴跌超过 99.9%。

为什么重要

私钥单人控制：最致命的单点故障

这起事件几乎把 VASP 托管和治理里的每一个「反模式」都占全了。第一，私钥单人控制——一个「只有失踪的前任才能解锁」的钱包，等于把客户资产的安全押注在单一个人身上，这是任何正经托管方案都不该出现的单点故障。第二，储备证明缺失——交易所拒绝披露完整钱包清单，用「冷钱包在链上分析之外」来搪塞，这与 MiCA 和 DORA 下的透明、可审计要求背道而驰。第三，跨境牌照空心化——运营主体注册在爱沙尼亚，靠一国 VASP 牌照覆盖多国用户，一旦出事，牌照撤销的链条比客户想象中脆弱得多。

MiCA 过渡期的临界点崩塌

时间点也很微妙：爱沙尼亚 FIU 6 月 29 日撤销牌照，距 MiCA 第 143 条规定的「既有国家制度可运营至 2026 年 7 月 1 日」的过渡期截止，只剩两天。换句话说，Zondacrypto 几乎是踩着欧盟统一监管的临界点崩塌的。

对 MiCA 实施的启示

这起案子还给欧盟一个现实的注脚：MiCA 把 VASP 授权统一到 ESMA 框架下，但像 Zondacrypto 这样靠单一小法域牌照、再跨境辐射多国用户的模式，恰恰是过渡期最容易出问题的缝隙。波兰政界已经在借这件事重新审视本国加密立法的执法力度——从「有没有牌照」到「牌照能不能兜住用户的资产」，中间的落差正是监管下一步要补的地方。

怎么看

私钥治理是底线：客户资产的控制权必须做到多人分权、冷热分离、可审计，绝不能出现「只有一个人能解锁」的设计。
储备证明不是可选项：MiCA 时代，交易所的偿付能力要能被独立验证，拒绝披露钱包清单本身就是红旗。
跨境牌照的空心化风险：用单一小法域牌照服务多国客户，牌照一旦被撤，用户几乎没有救济渠道。
刑事与牌照责任叠加：这起案子同时触发刑事调查（欺诈/洗钱）和行政牌照撤销，说明「跑路」式的运营失败，合规和刑事两条线都会追责。

一句话总结

Zondacrypto 的崩塌提醒我们：VASP 的合规底线从来不是「有没有牌照」，而是客户资产的控制权、可审计性和跨境责任的落实——任何一个环节的单人化、黑箱化，最终都会以用户的钱为代价。

本文基于crypto.news（2026-08-23）报道撰写，事实细节综合自《纽约时报》调查报道与路透社早前报道。

波兰