Crypto Long & Short：今年 9.72 亿美元加密黑客事件真正告诉我们什么关于安全
要点速览
- •截至 2026 年，加密资产已被盗约 9.72 亿美元，且如今多数损失来自基础设施和人为层面的失误，例如密钥被攻破和治理漏洞，而非智能合约漏洞。
- •在 2024—2025 年期间，涉及密钥、托管和签名基础设施的中心化交易所被攻破，占 191 起黑客事件全部损失价值的 54.6%。
- •某个协议虽然被审计了 11 次，但仍损失 1.28 亿美元，说明仅靠一次性审计无法保证运营层面的安全。
- •漏洞赏金计划的投入回报率极高，中位数约 2 万美元的赏金，往往能阻止平均损失约 2500 万美元的黑客攻击。
- •《Clarity Act》很可能赶不上国会夏季休会前的窗口期；在伦理与稳定币收益问题仍存分歧的情况下，它在 2026 年成为法律的概率正在下降。
Crypto Long & Short：今年 9.72 亿美元加密黑客事件真正告诉我们什么关于安全
Immunefi 创始人兼 CEO Mitchell Amador 写道，2026 年被盗加密资产中的大部分正通过被攻破的密钥、签名人和治理机制流失，而不是通过合约漏洞。他解释了为什么“我们审计过”从来不等同于“我们是安全的”。
H1 的加密黑客数据真正告诉我们什么关于安全
作者：Immunefi 创始人兼 CEO Mitchell Amador
本月，一名攻击者花费约 400 万美元，从 BonkDAO 的金库中套走约 2000 万美元。没有智能合约失败。攻击者购买了足够多的代币，在一次投票率较低的治理提案中获得通过，而投票则完全按照原样执行。规则本身就是漏洞。
6 月也出现过类似情形，但角度不同：当月最大的损失——Humanity Protocol 超过 3000 万美元的损失——来自一把在团队成员机器上被攻破的私钥，而合约本身未受影响，这是该项目自己的说法。
这就是 2026 年最严重损失的典型形态。截至今年，加密市场已损失约 9.72 亿美元。事件数量仍在上升，而资金越来越多地通过合约漏洞之外的路径流失：被盗的签名密钥、配置错误的验证器，或任何人都能通过投票进入的金库。如果只看事件数量，你会以为行业正在失守。但如果看被盗总额，就会发现一个更狭窄、也更令人不安的模式。
我们可以把它说得更精确。在我们研究的 2021 年至 2025 年间的 425 起黑客事件中，少数运营故障承担了大部分损失价值。在 2024 年至 2025 年这一窗口期，191 起黑客事件中全部损失价值的 54.6% 可追溯到中心化交易所被攻破：也就是位于合约之上的密钥、托管和签名环节。
然而，这并不意味着代码层面的问题已经解决。生产环境中的代码里到处都有严重漏洞。运行五年以上的项目中，93.9% 会暴露出已确认的严重漏洞，而已确认报告中大约五分之一被评为严重。代码也从未真正完成——每一次升级都会带来新的攻击面。变化在于，持续、带激励的审查如今已能跟上攻击者针对代码的步伐，而这正是同样的模式必须进一步扩展的原因。
标准做法在这里开始失效。审计只是在某个时间点验证代码。它无法说明签名权限由谁持有、密钥如何存储，或当一台笔记本电脑被攻破时会发生什么。审计是必要的，每个严肃团队都应该做，但“我们审计过”从来不等于“我们是安全的”。有一个协议被审计了 11 次，最终仍损失了 1.28 亿美元。
真正让合约代码更稳固的，是持续、带激励的压力。通过实时漏洞赏金计划，以及更广泛的监控和快速响应体系，安全研究人员会得到报酬，在攻击者之前发现漏洞。中位数约 2 万美元的赏金，通常能阻止一次平均损失约 2500 万美元的黑客攻击，使这笔支出成为协议能够做出的回报率最高的安全投入。该模式之所以有效，是因为它从不停止，也因为当组织架构变化或某位签名人离开时，激励不会衰减。
现在，同样的纪律也必须覆盖密钥、签名人和治理规则，否则我们会继续在这一领域看到灾难性损失。
那么，审计能让协议安全吗？单靠审计，不能。只有当协议的代码、密钥、人员、治理和监控都被视为动态攻击面，并由付费优先攻破它们的研究人员持续测试时，协议才算安全。
本周头条
作者：Francisco Rodrigues
本周头条显示，加密市场下行正在重塑资产负债表和市场基础设施。Strategy 增加现金并开始回购优先股，而 BitMEX 和 BitMart 则宣布关闭计划，熊市影响持续发酵。
Strategy 将现金储备提高至 37.5 亿美元，回购 2500 万美元 STRC： 该公司通过普通股出售筹得 5.445 亿美元，并用其中一部分回购了 288,930 股 STRC，同时保持其 843,775 BTC 不变。
发明永续掉期的交易所 BitMEX 正在关闭： 这家衍生品交易所将在 9 月 23 日关闭，运营 11 年后退出市场；它曾开创的市场如今已被更大的中心化竞争对手和去中心化交易平台夺走。
BitMart 因 BMX 代币暴跌，九年后宣布关闭： 该交易所将于 8 月 26 日停止交易，并于 2027 年 1 月 31 日停止运营，但未说明关闭的具体原因。
Revolut 员工持股出售推动估值升至 1150 亿美元： 这笔二级交易使这家支持加密业务的数字银行估值在不到一年内上升 53%，成为欧洲最有价值的私营公司。
Clarity Act 预计将错过国会夏季休会前的窗口期： 参议院多数党领袖 John Thune 表示，该法案在休会前通过的可能性不大，随着议员在伦理和稳定币收益问题上仍存在分歧，它在 2026 年成为法律的可能性进一步下降。
本周图表
Solana 上长尾交易量占比在 PUMP 反弹带动下回升至 60% 以上
Memecoin 和其他长尾代币如今占 Solana 交易量的 60% 以上，较 6 月底的 30% 多大幅回升。PUMP 紧随这一反弹，本月至今上涨 42%。