黑客不再破解代码！加密行业近10亿美元损失暴露新危机

FX168财经报社讯 Immunefi创始人兼首席执行官Mitchell Amador表示，2026年加密行业最严重的损失正在揭示一个更令人不安的现实：攻击者越来越少依赖智能合约缺陷，而是通过私钥、签名权限、治理投票和基础设施配置失误“绕开”代码本身。按其统计，今年以来加密货币损失已约达9.72亿美元，且这一数字背后的攻击路径正在发生明显变化。

攻击路径正在转移

Amador举例称，本月一个攻击者花费约400万美元，便从BonkDAO金库中转走约2000万美元资产。整个过程中并没有智能合约失效，攻击者只是买入足够多的代币，在一场投票率偏低的治理提案中获得通过，随后按规则执行提案。换言之，漏洞不在合约代码，而在规则设计本身。

类似情况在6月再次出现，但形式不同：Humanity Protocol当月最大一笔损失超过3000万美元，原因是团队成员电脑上的私钥遭到泄露，合约本身并未被触碰。Amador称，这正是2026年最严重损失的典型形态——资金不是从合约缺陷中流失，而是从被盗签名密钥、配置错误的验证器，或任何人都能通过投票进入的金库中流出。

他指出，如果只看事件数量，外界可能会认为行业正在“节节败退”；但若看累计被盗金额，真正的模式会更清晰。Immunefi研究了2021年至2025年的425起黑客事件，发现少数运营层面的失误承担了大部分损失。在2024年至2025年的窗口期内，191起黑客事件中有54.6%的损失价值可追溯至中心化交易所被攻破，问题集中在密钥、托管和签名环节，而非合约代码。

代码并未“安全”

不过，Amador也强调，这并不意味着代码层面的风险已经解决。相反，活跃运行的程序中仍然充满严重漏洞：运行超过五年的项目中，93.9%会暴露出至少一个已确认的严重漏洞，且大约五分之一的已确认报告被评为严重级别。与此同时，每一次升级都会带来新的攻击面。

他认为，过去几年之所以代码层面的防护有所改善，是因为持续、带激励的审查机制正在追赶攻击者。也正因如此，同样的模式必须进一步延伸到密钥管理、签名者权限和治理规则上，否则行业仍会在这些环节遭遇灾难性损失。

审计不是安全的全部

Amador直言，传统审计只能验证某一时点的代码状态，却无法回答谁掌握签名权限、密钥如何存储，或笔记本电脑被攻破后会发生什么。他强调，审计固然重要，任何严肃项目都应执行，但“做过审计”并不等于“已经安全”。

他举例称，有一个协议虽然接受了11次审计，最终仍损失1.28亿美元。真正让合约代码更稳固的，是持续的漏洞赏金计划、监控体系和快速响应机制。按照其说法，约2万美元的中位数漏洞赏金，往往可以阻止一场平均会造成约2500万美元损失的黑客攻击，这使其成为协议层面回报率最高的安全支出之一。

Amador总结称，一个协议只有在代码、密钥、人员、治理和监控都被视为持续暴露的攻击面，并由研究人员持续测试、在攻击者之前先发现问题时，才算真正安全。

熊市冲击交易所与市场基础设施

除安全话题外，本周加密市场的另一条主线是熊市正在重塑交易所和市场基础设施。Strategy通过出售普通股筹集了5.445亿美元，并开始回购优先股，同时将其843,775枚比特币持仓维持不变；BitMEX和BitMart则相继宣布关闭计划，显示市场低迷正在向行业经营层面传导。

其中，Strategy将现金储备提升至37.5亿美元，并回购了288,930股STRC，回购金额为2500万美元。BitMEX这家发明永续合约的衍生品交易所将于9月23日关闭，原因是其曾经开创的市场份额已被更大的中心化竞争对手和去中心化交易平台分流。BitMart则将在8月26日停止交易，并于2027年1月31日终止运营，公司未给出具体关闭原因。

与此同时，Revolut通过员工股份出售将估值推高至1150亿美元，较不到一年前上升53%，并成为欧洲最有价值的私人公司。美国方面，Clarity Act预计将赶不上国会夏季休会前的窗口期，参议院多数党领袖John Thune表示，该法案在休会前通过的可能性不大，这也削弱了其在2026年成为法律的前景。法案在伦理和稳定币收益问题上仍存在分歧。

Solana交易结构回暖

图表数据显示，Solana上的长尾代币交易占比已回升至60%以上，较6月底的30%多大幅反弹。PUMP与这一恢复趋势高度同步，本月至今上涨42%。这表明在部分高波动资产回暖的背景下，Solana生态内的交易活跃度正在重新向更广泛的代币扩散。

整体来看，当前加密行业面临的安全挑战已不再只是“合约写得对不对”，而是从代码层延伸至密钥、治理和组织流程。对市场而言，这意味着交易所、托管方和协议方的风险定价，可能会越来越依赖运营安全与应急能力，而不仅仅是审计报告本身。