OKX发布了2026年上半年Web3安全半年度报告，揭示了加密安全事件在频率和财务影响之间的显著分化。该交易所在2026年上半年记录了182起公开披露的安全事件，较2025年上半年的121起增长50%。然而，总损失下降约60%至9.56亿美元，低于去年同期的23.73亿美元。该报告丰富了来自CertiK、Immunefi和Chainalysis等机构追踪Web3安全趋势的行业数据，为协议和平台面临不断演变的威胁形势提供了基准。

该报告由OKX、SlowMist和OtterSec联合编制。

182起事件与9.56亿美元损失

损失的大幅下降主要归因于未出现类似2025年2月Bybit约15亿美元供应链攻击的单一极端事件。事件数量增加而总损失下降，意味着每起事件的平均损失较2025年上半年有所减少，当时仅Bybit事件就占了总损失的很大比例。

根据OtterSec编制的十大项目级损失排名，KelpDAO以约2.92亿美元损失位居首位，其次是Drift Protocol，约损失2.85亿美元。

攻击模式从智能合约漏洞转向其他方向

报告突显了攻击向量的显著转变。最大的财务损失不再主要源自智能合约漏洞。相反，损失主要由供应链入侵、社会工程学、云密钥窃取和单点验证失败驱动。这一趋势与行业内的观察一致：随着智能合约审计和形式化验证实践的成熟，攻击者越来越多地将目标转向运营基础设施、人为信任和密钥管理，而非协议逻辑本身。

供应链攻击造成约2.98亿美元损失，其次是合约逻辑问题造成1.52亿美元损失，私钥泄露造成1.3亿美元损失。

AI代理在新颖攻击中被利用

报告援引Bankr事件作为AI代理如何被利用的案例。攻击者激活了Agent会员权限，并向xAI的Grok发送了摩尔斯电码提示注入，Grok将消息解码后转发给@bankrbot。该机器人将指令视为可信输入并接受，在Base网络上执行了价值约15万至20万美元的转账。随着AI代理在DeFi、钱包界面和自动化交易工作流程中的普及，此类攻击向量代表了一个超越传统智能合约风险的新兴领域。

AI还通过社会工程学、身份伪造和自动化代码生成扩大了加密领域的攻击面。报告提及朝鲜的HexagonalRodent行动，该行动利用ChatGPT、Cursor、AI生成的网站和虚假招聘活动入侵了超过2,700个开发者系统。OtterSec还将2026年3月记录的74个CVE中的35个归因于AI生成的代码，这一发现对AI编程助手在软件行业广泛采用背景下的开发实践具有重要意义。

用户和AI代理成为主要攻击目标

随着用户和AI代理成为主要攻击目标，报告预计Web3安全的下一阶段将以主动、分层的防御为中心，在攻击链的更早阶段——即在签名、执行或授信之前——进行干预。

报告预计沙盒化工具调用、权限分级、预执行模拟以及对敏感交易的二次人工确认将得到更广泛采用。报告还预计更多的钱包和平台将部署实时设备扫描、URL和DApp风险检测以及恶意软件识别，以在助记词暴露或钱包连接建立之前拦截威胁。

报告建议用户在签名前理解交易、消除单点故障，并在信任前进行验证。建议措施包括对AI生成的代码进行严格审计、限定权限范围、保持交易透明度以及不完全依赖AI判断的分层保障措施。

来源：OKX Web3安全报告2026年上半年