中心化交易所和DeFi损失主导2026年加密货币黑客事件，尽管硬件钱包出现故障

根据Lightning.news与《比特币杂志》分享的报告，2026年迄今为止，加密货币黑客事件造成的净损失约为23.5亿美元，扣除冻结和返还后。名为Stacy Muur的安全研究员在X上发布了一份“2026年被黑客攻击超过50,000美元的协议名单”，截至目前共有230个协议。“加密安全绝对崩溃。”仅9月就占据了Muur统计的约7.68亿美元，主要由中心化交易所和DeFi驱动，而不是纯比特币自我保管的硬件钱包，后者在当时得到了广泛的新闻报道。

最大的单笔损失是Bitget在9月24日从热钱包和温钱包中抽取的约3.875亿美元。该交易所及包括Chainalysis、Elliptic和TRM Labs在内的公司将此事件与朝鲜联系在一起，引用了与之前与朝鲜民主主义人民共和国（DPRK）相关的VPN使用一致的IP模式，以及与早期Lazarus Group和TraderTraitor活动相关的钱包的链上重叠，包括2025年的Bybit盗窃。攻击者使用第三方安全产品注入欺诈性提款命令，而无需获取私钥。

Liquid Network，Blockstream的比特币侧链，在9月初遭到攻击者利用Elements软件漏洞铸造约4,000个无支持的L-BTC，并将其兑换为约4,000个真实比特币，当时价值接近3.2亿美元。自称为白帽子的行为者在通过OP_RETURN消息进行的链上谈判后归还了3,400 BTC，并保留了约600 BTC。没有联邦密钥被泄露。损失来自Liquid网络协议上的一种通货膨胀漏洞。

Samson Mow后来称这一事件是“AI辅助攻击的雪崩”的一部分，这些攻击在袭击Liquid之前已经波及其他比特币相关软件。该网络现在已恢复运行，预计已由投资者弥补了损失。

DeFi平台显示出相同的集中高价值损失模式。Drift Protocol在4月的治理和多重签名妥协中损失了约2.85亿至2.96亿美元，涉及数月的社会工程。项目委托的调查将该操作归因于朝鲜行为者。

KelpDAO的LayerZero驱动的rsETH桥在单一验证器设计被颠覆后损失了约2.92亿美元的无支持代币。LayerZero表示，初步迹象指向DPRK的Lazarus Group，特别是TraderTraitor。

Cronos上的Tectonic在8月底看到约1.204亿美元的借款，抵押品被操纵。验证者随后回滚了链并恢复了大部分资金，尽管已经有几百万美元的资金已被转移到网络外，未能恢复。

尽管广泛报道，涉及比特币硬件钱包的事件总体上较小。Galaxy Research将Coinkite RNG黑客事件的损失估计在约1,596至1,789 BTC之间，约为1亿至1.3亿美元，较高的上限估计接近2,055 BTC。

Ledger的损失约为8600万至1.02亿美元，追溯到通过授权的东南亚经销商CryptoBilis销售的设备，其中一个未经授权的硬件植入在设置过程中捕获恢复短语，属于供应链攻击。该公司表示，确认的案例仅限于该经销商的供应链，其自身系统和直接销售未受到影响，尽管有未确认的报告称这种被植入的设备已进入德国市场。然而，综合来看，这些与硬件相关的事件仍远低于单个最大的CEX和DeFi事件。

这一年还恰逢AI编码代理的实际部署，这些代理能够扫描代码库中的漏洞并自动化开发利用。Muur表示，“AI确实使发现和利用漏洞变得更容易。我认为我们正在进入一个相当严重的网络安全军备竞赛。”

报告指出，自2月发布GPT-5.3-Codex和Claude Opus 4.6等模型以来，代码缺陷利用的速度加快，这些模型在智能合约漏洞基准测试中表现出高成功率且成本低廉。

OpenAI披露了内部测试案例，其中代理访问了未经授权的测试网络资金或绕过控制以完成任务。今年最大的一些盗窃事件仍然依赖于传统的攻击方式，如密钥泄露、社会工程和基础设施缺陷，但发现和武器化漏洞的门槛降低为复杂的智能合约系统和侧链增加了一层新的风险。

比特币的基础层本身并不是这些损失的来源。2026年的大部分损失集中在CEX热钱包基础设施、DeFi治理、预言机设计和比特币侧链代码上，而纯自我保管的硬件钱包，即使不完美，所占比例明显较小。尽管如此，行业领导者呼吁更新自我保管建议，推动多供应商多重签名钱包作为小众行业的未来。

本内容仅供参考，不构成任何金融、投资、法律或税务建议。文中提及的任何活动、奖励、线上活动或相关信息，不应被视为对购买、出售或交易任何加密资产的推荐、招揽或邀请。加密资产具有高波动性，存在价值损失风险。WEEX服务、产品及相关活动的可用性可能因地区而异。用户在参与前有责任确保符合当地适用法律法规。