OKX 發布了 2026 上半年 Web3 安全半年報，揭露加密安全事件發生頻率與財務影響之間出現顯著背離。該交易所記錄到 2026 上半年共發生 182 起公開披露的安全事件，較 2025 上半年的 121 起增加了 50%。然而，總損失下降約 60%，從去年同期的 23.73 億美元降至 9.56 億美元。該報告豐富了來自 CertiK、Immunefi 和 Chainalysis 等機構追蹤 Web3 安全趨勢的產業數據，在協議與平台面臨不斷演變的威脅態勢之際，提供了重要的基準參考。

該報告由 OKX、SlowMist 與 OtterSec 聯合編製。

182起事件與9.56億美元損失

損失大幅下降主要歸因於沒有出現類似 2025 年 2 月 Bybit 遭到約 15 億美元供應鏈攻擊的單一極端事件。事件數量增加但總損失下降，意味著與 2025 上半年相比，每起事件的平均損失有所減少，而當時 Bybit 事件就佔了總損失的顯著比例。

根據 OtterSec 彙編的十大專案級損失，KelpDAO 以約 2.92 億美元居首，其次是 Drift Protocol，損失約 2.85 億美元。

攻擊模式從智能合約漏洞轉向其他手法

報告凸顯了攻擊向量的顯著轉變。最大的財務損失不再主要源自智能合約漏洞，而是由供應鏈入侵、社交工程、雲端金鑰竊取與單點驗證失誤所驅動。此趨勢與產業觀察一致——隨著智能合約審計與形式化驗證實踐日趨成熟，攻擊者越來越多地將目標轉向營運基礎設施、人類信任環節與金鑰管理，而非協議邏輯本身。

供應鏈攻擊造成約 2.98 億美元的損失，其次是合約邏輯問題的 1.52 億美元與私鑰洩露的 1.30 億美元。

AI代理在新形態攻擊中遭利用

報告引用 Bankr 事件作為 AI 代理如何遭利用的案例。攻擊者啟用了 Agent 會員權限，並向 xAI 的 Grok 發送摩斯電碼提示注入，Grok 將訊息解碼後轉發給 @bankrbot。該機器人將此指令視為可信輸入並執行了價值約 15 萬至 20 萬美元的轉帳，交易發生於 Base 網路。隨著 AI 代理在 DeFi、錢包介面與自動化交易工作流程中的應用日益普及，此類攻擊向量代表了一個超越傳統智能合約風險的新興領域。

AI 也透過社交工程、身分偽造與自動化程式碼生成擴大了加密領域的攻擊面。報告提及北韓的 HexagonalRodent 行動，該行動利用 ChatGPT、Cursor、AI 生成的網站以及虛假招募活動，入侵了超過 2,700 個開發者系統。OtterSec 進一步指出，2026 年 3 月記錄的 74 個 CVE 中有 35 個與 AI 生成的程式碼有關，此發現對開發實踐具有深遠意義，因為 AI 程式碼助手已在軟體產業中被廣泛採用。

用戶與AI代理成為主要攻擊目標

隨著用戶與 AI 代理成為主要攻擊目標，報告預期 Web3 安全的下一階段將以主動、分層的防禦為核心，在簽名、執行或授予信任之前即於攻擊鏈早期介入。

報告預期沙盒化工具呼叫、權限分級、執行前模擬以及敏感交易的二次人工確認將獲得更廣泛的採用。報告也預期更多錢包與平台將部署即時裝置掃描、URL 與 DApp 風險偵測以及惡意軟體識別功能，以便在助記詞暴露或錢包連線建立之前攔截威脅。

報告建議用戶在簽名前充分理解交易內容、消除單點故障，並在信任前進行驗證。建議措施包括對 AI 生成程式碼進行嚴格審計、權限範圍限制、交易透明化，以及不單純依賴 AI 判斷的分層防護機制。

來源：OKX Web3 安全報告 2026 上半年