交易所不是只用一种方式失败。它们用七种方式失败。大多数用户只有在下一个失败模式击中自己时才会了解它——周一还能提现、周三就不能的 FTX 客户，十一年后仍在等待的 Mt. Gox 债权人，登录后发现余额被锁的、身处被制裁国家的用户。
这是 Self-Custody Fundamentals 系列的第三篇。第一篇 not your keys, not your coins 提出了论点。第二篇 custodial vs. non-custodial wallets 划清了界线。这一篇盘点真实的失败模式——每种长什么样、何时发生过，以及在它降临到你身上之前你能做什么。
TL;DR
- 交易所是一个 custodian。一个 custodian 至少有七种不同的失败方式，而且这些失败常常叠加。
- 七种模式：资不抵债、被黑、监管冻结、exit scam、制裁、KYC/账户锁定、暂停提现。
- 每种模式都有历史先例——Mt. Gox、FTX、Celsius、Bitfinex、QuadrigaCX、Bitzlato、BitMart 以及更多。
- 保险、监管和"审计"都不会让这些模式消失。它们改变的是破产时由谁决定清偿顺序，而不是破产是否会发生。
- 对每种模式的对冲都是同一个——自己持有私钥，放在不依赖某一个 venue 持续偿付能力、在线状态和合法身份的设备上。
模式 1 — 资不抵债
交易所欠客户的钱不够还。这是经典失败模式，也是零售用户最容易低估的，因为交易所 UI 一直显示正确余额，直到提现被叫停那一刻。
资不抵债既会因为银行破产的那种无聊原因发生（坏账、热/冷钱包浮存的久期错配），也会因为加密特有的原因发生（同时兼做做市商的风投部门、被当作抵押的代币金库、用自家代币计量的"流动性"内部余额）。2022 年的连环倒下——Celsius、Voyager、BlockFi、FTX——就是一连串资不抵债。
你能拿到的信号：提现被暂停"以管理出金"，高管发推说资金安全，两到七天后递交 Chapter 11。资金并不安全。它们要么被借出、抵押，要么从未以可识别的 on-chain 余额形式真实存在过。
留给你的：一笔债权，以破产法院选定的方式计价（通常是申请日的 USD，不是资产当前价值）。Mt. Gox 债权人从 2024 年开始收到分配——破产十一年之后。FTX 客户拿回得更快也更好，但仍按申请日美元价值结算，错过了之后的牛市。
模式 2 — 被黑
交易所的热钱包（少数情况下是冷钱包）被攻击者掏空。与资不抵债不同：被黑当天早上业务本身有偿付能力；与 exit scam 不同：运营者是受害者，不是作案者。
历史例子：Mt. Gox（2014，~850k BTC）、Bitfinex（2016，~120k BTC，2022 年部分追回）、Coincheck（2018，$530M NEM）、KuCoin（2020，$280M）、Bitmart（2021，$200M）、Ronin Bridge（2022，$625M）、DMM Bitcoin（2024，$305M）、WazirX（2024，$230M）。
接下来发生什么取决于谁来背锅。一些交易所（Binance 通过 SAFU，Bitfinex 通过被黑后发行的代币）社会化损失并随时间补偿客户。另一些（Mt. Gox）则做不到。规律是：交易所活下来，你最终拿回点东西，可能少于 100%；活不下来，参见模式 1。
常见攻击面：热钱包密钥被攻破（最常见）、对内部管理员的社会工程、对交易或签名基础设施的供应链攻击、连接的 bridge 上的智能合约漏洞。交易所披露的（如果披露）冷/热比例是部分指标，不是保证——见 2024 年 WazirX 案，目标是 multisig 签名基础设施，而不是钱包边界。
模式 3 — 监管冻结
法院、监管机构或政府部门命令交易所停止提现或冻结特定账户。交易所正常运营——有偿付能力，未被黑——但在该命令解决之前法律上无法归还资金。
它以两种风味出现。定向：某个特定账户因法院命令、AML 警报或调查被冻结（常见，通常几周到几个月内解决）。范围式：整个交易所或某一国家的账户因监管行动被冻结。
范围式的例子：BitMEX（2020，CFTC 行动限制美国用户）、Bittrex（2023，SEC 执法，美国用户有提现截止日）、Binance.US（2023-2024，监管压力限制了功能和提现）、2022 年制裁后欧洲交易所对俄罗斯用户的各种冻结。定向风味是持续的背景噪音；用户通常在尝试提现并触发之前未知的 KYC 重新验证时才发现。
冻结期间你能做的：通常是等待。有时可以转到另一个平台，有时不行。冻结不会取消你的债权，但意味着资产在不确定时间内不流动——足够长，让你最终拿到的价格不再认识得出来。
模式 4 — Exit scam
运营者卷款走人。与被黑不同：交易所本身就是攻击者；与资不抵债不同：资金存在，但是被有意挪走，而不是在烂赌注中亏掉。
历史上有两种模式。直接 rug：一家中小型交易所一夜之间下线，客户资金消失——例子：WEX（俄罗斯，2018，~$450M，BTC-e 重启之后）、Africrypt（南非，2021，宣称 $3.6B）以及一长串更小的场所。慢速退出：运营者去世、失踪或无法联系，同时握有唯一一套冷钱包私钥——QuadrigaCX 案（加拿大，2019，CEO Gerald Cotten 独自掌管私钥时去世，$190M CAD 被锁）是典型，后续调查认定"死亡"是次要的；该运营早就一直是欺诈。
信号：所有权不透明、银行关系无据可查、无审计、无公开的 proof-of-reserves、与宣称规模不匹配的提现限额。任何一个单独不至于淘汰，但组合起来就是。对那些公开上一个人就是整家公司的交易所，要格外警惕。
模式 5 — 制裁
你的账户没问题。你的司法辖区有问题。一个制裁体系——美国 OFAC、欧盟、英国、联合国的对应——把你的国家或一个与你关联的人加入指定名单。交易所现在在法律上必须封锁你的访问，通常事先不通知。
从 2022 年起这反复出现。伊朗、俄罗斯、白俄罗斯和委内瑞拉用户都在新的制裁包落地时遭遇主流交易所突然封锁。Bitzlato 被查扣（2023 年 1 月，FinCEN 指定，账户冻结，基础设施在与法国当局协作下被扣押）是特别干净的例子：被指定的实体就是交易所本身，每一个账户都瞬间不可达。
制裁不只针对国家。Tornado Cash 的地址在 2022 年被 OFAC 指定；触碰被标记地址的交易所把后果转给了用户。如果你住在被制裁的司法辖区，或者与被制裁地址发生交易（即使是无意中收到一笔被污染的 UTXO），custodian 承担这一风险，并以关闭你的访问来解决。
模式 6 — KYC / 账户锁定
你个人受制于一次 KYC 或 AML 扣留。你没被制裁，交易所没被冻结，但某笔交易或账户画像触发了审查。你的账户被锁，等候提交文件——这从 48 小时到永远不等。
常见触发条件：一笔来自"高风险"地址的存款（合规团队不喜欢的交易所、mixer、privacy pool）、与 structuring 模板匹配的提现模式、IP 国家变化、新设备登录、官方证件上的姓名变更。合规供应商标记你，审核队列堆积，你只能等。
信号：app 内 banner，有时是一封要求新拍证件照和自拍的邮件。摩擦就是目的——许多用户中途放弃 KYC，完全失去访问。对高金额账户，审查可能要求资金来源文件、银行流水以及对多年前具体交易的解释。
风险不是临时不便。风险是锁定可以无限期，期间你的资产无法变现。交易所并没有违规——他们做的是被要求做的。不对称在于：成本由 你 承担。
模式 7 — 暂停提现
交易所"为维护，临时"暂停提现。有时这字面上是真的——热钱包密钥轮换、chain 升级、congestion 缓解——几小时后恢复。有时这是模式 1 的第一个可见症状。
事先你无法知道是哪一种。两种情况下出现的是同一个 banner。Mt. Gox 在 2014 年 2 月以"transaction malleability"问题暂停提现，三周后破产。FTX 在 2022 年 11 月以"成交量极高"暂停提现，几天内申请 Chapter 11。Celsius 在 2022 年 6 月以"极端市场条件"暂停提现，一个月后申请 Chapter 11。
这是把其他模式从背景风险变成即刻损失的模式。你可以对一个资不抵债的交易所有债权并部分追回。你可以在制裁封锁中失去访问然后拿回来。但在暂停期间——你弄清楚自己实际在哪种模式之前的几天或几周——你的资产无法触及。Mt. Gox/FTX/Celsius 的模式表明，从暂停提现到完全弄清局势之间的时间，可以从 12 小时到 11 年不等。
这对你意味着什么
这七种模式不是边缘情况。它们是 custodial 交易所业务的常规运营模式。每一个长期加密用户都至少站错过一种模式的一边；很多人撞上过几种。
对 全部七种 的对冲是同一个：持有你控制的私钥，放在你控制的设备上，背靠你理解的恢复方案。没有什么聪明的用交易所方式能绕开这些模式——这些模式是模型本身固有的。正确的框架是运营性的：用交易所做它们擅长的事（fiat 入口、受监管交易、深度），并且不要在那里持有超过必要时长的有意义余额。
SSP 的 2-of-2 multisig 在自托管侧处理对应的失败模式——丢失一个设备、密钥被攻破、旅行中失去访问——做法是把签名要求分到两个设备上，而不是集中在一个。seed phrase 最佳实践 覆盖下面的恢复层。
系列的下一篇 what self-custody actually requires of you 是这篇诚实的对应：交易所可以以七种方式失败，自托管也可以以它自己的几种方式失败。重点不是某一边没有风险。重点是由你来选择背负哪一组风险。
