根據與Bitcoin Magazine分享的一份Lightning.news報告，在計入凍結與返還資金後，2026年迄今加密貨幣駭客攻擊已造成約23.5億美元的淨損失。安全研究員Stacy Muur整理了2026年被盜超過5萬美元的協議名單，年內至今涵蓋230個協議。Muur寫道：「加密貨幣安全已經徹底完蛋了。」

單是9月就佔Muur統計中約7.68億美元的損失。這些事件主要由中心化交易所與去中心化金融協議造成，而非純粹的比特幣自託管硬體錢包，儘管硬體錢包故障在該期間獲得了大量媒體關注。

最大的單一損失是9月24日Bitget熱錢包與溫錢包被竊約3.875億美元。熱錢包是交易所為處理提款而維護的連網儲存，由於資金可立即轉移，因此成為反覆出現的攻擊目標。Bitget與包括Chainalysis、Elliptic和TRM Labs在內的區塊鏈分析公司將該事件與北韓聯繫起來。他們的評估引用了與先前朝鮮民主主義人民共和國（DPRK）相關VPN使用一致的IP模式，以及與早期Lazarus Group和TraderTraitor活動（包括2025年Bybit被盜案）相關錢包的鏈上重疊。聯合國制裁監督員多年來一直記錄與北韓相關的加密貨幣竊盜，作為該受制裁國家的收入來源。

據報導，攻擊者利用第三方安全產品注入欺詐性提款指令，而未取得交易所的私鑰。

Liquid Network——Blockstream的比特幣側鏈——遭受了第二大損失，攻擊者於9月初利用了一個Elements軟體漏洞。像Liquid這樣的側鏈透過獨立功能方的聯盟來保障錨定比特幣的安全，並運行於Elements之上，這是一個以比特幣自身代碼為基礎構建的開源代碼庫。根據Galaxy Research，該漏洞利用使攻擊者能夠鑄造約4,000枚無資產支持的L-BTC，並將這些代幣錨定兌出約4,000枚真實比特幣，當時價值接近3.2億美元。

自稱白帽的攻擊者在透過OP_RETURN訊息——一種允許在交易中嵌入小型資料負載（包括簡短公開訊息）的比特幣腳本功能——進行鏈上談判後，返還了3,400枚BTC，並保留了約600枚BTC。聯盟密鑰未遭洩露。損失源於Liquid網絡協議中的一種通脹漏洞。

Samson Mow後來將該事件描述為「AI輔助攻擊雪崩」的一部分，這波攻擊在觸及Liquid之前已影響其他與比特幣相關的軟體。該網絡在彌補損失後已恢復運行，據報導資金推測來自投資者。Liquid隨後宣布了恢復。

DeFi平台也呈現類似的集中、高價值損失模式。在這些事件中，攻擊者瞄準的是管理控制——治理流程與協議資金庫的多簽安排——而非底層密碼學。Drift Protocol在4月的一次治理與多簽妥協中損失約2.85億至2.96億美元，此前經歷了數月的社會工程攻擊。該項目委託的調查將此行動歸因於北韓行為者。

KelpDAO由LayerZero驅動的rsETH跨鏈橋在其單一驗證者設計被顛覆後，被盜走約2.92億美元的無資產支持代幣。跨鏈橋依賴一組驗證者來證明跨鏈轉帳，因此僅需單一簽名的設計會將信任集中於一方。LayerZero表示，初步跡象指向DPRK的Lazarus Group，具體為TraderTraitor。Cronos上的Tectonic在8月下旬約有1.204億美元被以操縱的抵押品借出。驗證者隨後回滾了鏈並追回大部分資金，但已有數百萬美元被跨鏈轉出網絡，未能恢復。該事件由Bitquery記錄。

儘管報導廣泛，比特幣硬體錢包相關事件的總體規模較小。Galaxy Research估計Coinkite RNG攻擊的價值約為1,596至1,789枚BTC，相當於約1億至1.3億美元，較高的估計達到約2,055枚BTC。在硬體錢包中，隨機數生成器決定了設備上生成的私鑰的不可預測性，因此RNG弱點即使在外部，私鑰從未離開設備的情況下，也可能損害密鑰的保密性。該評估由Galaxy Research發布。

Ledger約8,600萬至1.02億美元的損失被追蹤到透過東南亞授權經銷商CryptoBilis售出的設備。一個未經授權的硬體植入物在設置過程中擷取了恢復短語，使該事件成為供應鏈攻擊——即產品在製造與最終使用之間被破壞，而非透過製造商自身的系統。Ledger表示，已確認的案例僅限於該經銷商的供應鏈，其自身系統與直銷未受影響。未經證實的報導稱，被入侵的設備可能也已流入德國市場。

綜合來看，這些與硬體相關的事件仍遠低於最大的中心化交易所與DeFi攻擊所造成的損失。

這一年也恰逢能夠掃描代碼庫以尋找漏洞並自動化漏洞利用開發的AI編碼代理的實際部署——對於長期以來將專業安全審計作為標準且昂貴的上線前步驟的行業而言，這一轉變具有重要影響。Muur表示：「AI確實讓尋找和利用漏洞變得容易得多。我認為我們正在進入一場相當嚴峻的網絡安全軍備競賽。」該聲明出自另一篇貼文。

報導指出，在2月GPT-5.3-Codex和Claude Opus 4.6等模型發布後，代碼漏洞利用加速，這些模型在智慧合約漏洞基準測試中以低成本展現了高成功率。OpenAI已披露內部測試案例，其中代理存取了未經授權的測試網絡資金或繞過控制以完成任務。

今年大多數最大的竊案仍依賴傳統攻擊載體，包括密鑰洩露、社會工程與基礎設施缺陷。然而，發現並武器化軟體漏洞的門檻降低，引入了額外的風險，特別是對於複雜的智慧合約系統與側鏈。

比特幣基礎層本身並非這些損失的來源。2026年的大部分損害集中在中心化交易所熱錢包基礎設施、DeFi治理、預言機設計與比特幣側鏈代碼。純粹的自託管硬體錢包雖然並非免疫故障，但所佔比例明顯較小。

儘管如此，業界領袖仍呼籲更新自託管建議，包括更廣泛使用多供應商多簽錢包，作為部分行業未來的託管基準。這類設置需要來自不同製造商的簽名設備的批准，因此任何單一故障或被入侵的供應商都無法單獨轉移資金。託管指引、交易所對第三方安全產品的審查以及DeFi治理控制如何因應今年的發現而演變，是在Muur的統計持續增長之際值得關注的脈絡。本文由Bitcoin Magazine首次發表，作者為Juan Galt。