加密货币市场原本就是一个高波动性和高风险领域,但进入2026年后,随着黑客攻击速度加快,即使是资深投资者也感到不安加剧。据统计,仅今年一年,至少68起事件中共有10.8亿美元(约1.6092万亿韩元,1美元=1490.30韩元)被盗取。
特别是三起大型事件占据了总损失的大部分,其中两起发生在4月。仅就4月份而言,截至目前已发生30起事件,相当于“每天至少一起”事故的频率。
Protos公开超过10万美元黑客事件的“目录”
外媒Protos表示,仅在过去一周就确认了13起独立的受害事件,而在文章撰写当天,甚至一天内同时发生了三起。尽管单笔损失相对较小,但累计损失已超过1100万美元(约163.93亿韩元)。
为了向读者迅速传达情况,Protos建立了一个整理2026年黑客事件的“黑客追踪器”。该追踪器通常以损失超过10万美元的案例为中心进行整理,并可在网站“Live”栏目中查看。
安全公司也陷入“警报滥发”争议……专家账号也被盗取
随着事件频发,有指出即使是专业安全公司也难以跟上速度。Alchemix、Trading Strategy、Yearn Finance团队公开反对称,某家安全公司发布了“不负责任的”警报,将第三方合同(外部合约)的问题弄得像是他们自家产品造成的。
安全专家们也未能免受攻击。进行审计的公司Certik的业务开发经理通过X(原推特)提醒注意,称自己的Telegram账号被盗取,正以“虚假会议链接”的形式传播恶意代码。
AI助长的攻击与可见性……大型事件转向“社会工程学”
AI的扩散被认为是近期黑客攻击激增的主要背景因素。一方面AI工具被用于更快地搜索和利用漏洞,另一方面也有观点指出,随着研究人员能更好地捕捉区块链数据中的异常交易,“可见的事件”可能增加了。
有分析认为,去中心化金融(DeFi)整体的结构性损失也不容忽视。Piggy Finance分析了过去五年的案例,并推测仅因“协议层面”的漏洞攻击,每年就有3.37%的DeFi资产流失。不过,近期的大型损失正从智能合约漏洞转向通过长期“社会工程学”和鱼叉式网络钓鱼来盗取有权限的设备或账户,4月份Drift Protocol损失的2.8亿美元(约4173亿韩元)和Kelp DAO损失的2.9亿美元(约4322亿韩元)也并非智能合约漏洞利用。
文章摘要 by TokenPost.ai
🔎 市场解读
- 进入2026年,加密货币黑客攻击呈现“速度战”态势,即使是经历过多轮周期的资深投资者也能感受到风险急剧扩大
- 至少68起事件中盗取10.8亿美元,特别是仅4月份就发生了30起(每天超过一起) → 需要将其视为“连续事件风险”,而非孤立事件
- 大型损失的核心正从智能合约漏洞转向基于社会工程学/鱼叉式网络钓鱼的“权限盗取(控制账户/设备)”
- AI的扩散一方面帮助攻击者搜索漏洞、提升诈骗技巧,另一方面也提高了异常交易检测(可见性),带来了“事件看起来更多”的叠加效应
💡 策略要点
- 投资组合风险不仅包括“协议风险”,还需将“运营/权限风险(管理员密钥/账户)”作为单独项目进行分离检查
- 大额投资/存入前的检查清单:是否应用了多重签名/时间锁、密钥保管(HSM/硬件)政策、权限分离、应对网络钓鱼的流程(回拨/双重审批)
- 解读通知/警报时需考虑“误报(警报滥发)”的可能性:区分原因是第三方合约问题还是实际自身漏洞
- 个人投资者实践:基本屏蔽基于Telegram/邮件链接的“会议/文件/钱包连接”请求,直接输入官方域名,优先应用双重验证、通行密钥、硬件钱包
📘 术语整理
- 社会工程学(Social Engineering):通过“欺骗人”而非技术黑客手段盗取账户/权限的攻击
- 鱼叉式网络钓鱼(Spear Phishing):针对特定个人/组织精心设计的高度定制化钓鱼攻击
- 智能合约漏洞利用(Smart Contract Exploit):利用合约代码漏洞盗取资金攻击
- 第三方合约(外部合约):因项目无法直接控制的外部合约/依赖性而产生的安全问题
- 黑客追踪器(Hacking Tracker):按规模/类型收集黑客事件并进行更新的数据库/仪表盘
💡 常见问题(FAQ)
Q.
为什么2026年的加密货币黑客攻击感觉尤其具有威胁性?
仅今年年初以来,至少68起事件中就有10.8亿美元被盗,仅4月份就发生了30起,以“几乎每天发生事故”的速度累积。
也就是说,不仅是单一事件的规模,连续事件的发生本身正在作为一种动摇市场和投资者心理的“常态风险”在起作用。
Q.
最近大型黑客攻击中“社会工程学”比智能合约漏洞更多,这是什么意思?
过去核心是突破代码漏洞的智能合约漏洞利用,但近期大型损失正转向通过欺骗(钓鱼/虚假链接)或盗取管理员账户/有权限设备本身的方式。
文章中提及的Drift Protocol(约2.8亿美元)和Kelp DAO(约2.9亿美元)的损失也被介绍为并非智能合约漏洞利用,而是属于权限盗取性质的事件。
Q.
个人投资者当下能最先减少哪方面的安全风险?
最常见的攻击入口是“点击链接 → 连接钱包/登录 → 权限被盗取”的流程,因此对于通过Telegram、X、电子邮件发来的会议、文档、空投链接,应首先持怀疑态度,并养成通过直接输入官方域名访问的习惯,这一点很重要。
此外,使用双重验证(尽可能使用通行密钥)、硬件钱包,以及定期检查授权(Approval)记录,可以大幅减少基于社会工程学的损失。
人工智能注意事项
使用基于TokenPost.ai的语言模型对文章进行了摘要。本摘要可能遗漏了原文的主要内容或与事实不符。