第三季度黑客数据显示：攻击者的目标已从代码转向基础设施
CertiK 统计第三季度损失达 12.6 亿美元，最大几起盗窃案的突破口是第三方安全设备、节点软件发布和钱包固件，而非智能合约。
SECURITY & HACKSEXCHANGESANALYSIS
Lukas Brenner
10/28/20261 分钟阅读
2026 年第三季度是今年加密行业安全损失最惨重的一个季度，但比总额更值得关注的是损失的构成。据 CertiK 统计，7 月至 9 月共发生 247 起安全事件，损失 12.6 亿美元，较第二季度的 8.194 亿美元增长约 54%。然而，四起最大事件中有三起与典型的 DeFi 漏洞攻击相去甚远。传统模式是攻击者找到智能合约缺陷后掏空资金池，而这三起事件的突破口分别是第三方厂商的安全设备、某条侧链软件发布流程中的空档，以及硬件钱包固件的缺陷。
9 月是损失最集中的月份。CertiK 估计当月 99 起事件造成约 7.69 亿美元损失，是 2026 年迄今最糟糕的一个月；PeckShield 的独立统计结果与此相近。部分资金已被追回。CertiK 估算约 2.73 亿美元被冻结或归还，9 月净损失因此降至约 4.95 亿美元。总损失与净损失之间的差距本身就是一个趋势，说明稳定币发行方、交易所和调查人员如今在资金异动后能够更快作出反应。
交易所失窃始于第三方供应商
仅 Bitget 一案就损失 3.875 亿美元，约占季度总额的 31%。根据交易所的披露以及 SlowMist 和 Mandiant 的调查，攻击者并没有破解任何钱包密码学机制。他们利用第三方安全设备中的零日漏洞，从环境变量中读取数据库密码，在内网横向移动到负责处理钱包任务的服务器，随后使用高权限内部凭证发出提币指令。SlowMist 将最早的恶意活动追溯到 8 月 31 日，比资金从热钱包和温钱包流出早了三周多。
这一教训对所有中心化平台都不轻松。为保护网络而采购的工具往往部署在网络内部的高权限位置，其中任何一个缺陷都可能为入侵者打开通往最敏感系统的通道。Bitget 表示，损失由规模超过 4.64 亿美元的用户保护基金覆盖，并指向朝鲜黑客，依据是 Elliptic 和 TRM Labs 发现的 IP 特征和钱包关联。这与更大的格局相符。Blockaid 在年中报告中将上半年两起最大事件，即损失 2.92 亿美元的 KelpDAO 和 2.85 亿美元的 Drift，归于与朝鲜有关的团伙，并描述了攻击者通过 LinkedIn 实施社会工程、最终攻陷多签签名人的过程。
补丁已经存在，却无人部署
9 月初 Liquid Network 事件暴露了另一类弱点。攻击者利用 Blockstream 比特币侧链所用软件 Elements 中范围证明校验的缺陷，凭空铸造约 4000 枚没有比特币支持的 L-BTC，再通过正常的 peg-out 流程兑换出来。Halborn 在分析中指出，这一缺陷其实已在 Elements 代码库中修复，但修复尚未进入正式发布版本，运行官方版本的节点因此仍然暴露在风险之下。一名自称白帽的人士随后归还了其中 3400 枚，这在很大程度上解释了 9 月的资金回流。
Coldcard 被盗事件属于同一类型。据 TRM Labs 分析，2021 年 3 月发布的一版固件存在构建错误，导致部分设备使用强度很弱的软件随机数生成器生成助记词，密钥的有效强度远低于设计的 128 位。攻击者从 7 月 30 日开始批量清空钱包，据 Galaxy Research 统计，受影响地址超过 5200 个。整个过程既不涉及智能合约，也无需接触任何设备。
数据揭示的风险分布
综合来看，本季度表明价值暴露的位置正在转移。The Block 援引 Immunefi 数据称，今年 DeFi 漏洞攻击损失较 2022 年高峰下降约 74%，说明审计、漏洞赏金和经过实战检验的合约模板正在发挥作用。但 Blockaid 记录的 2026 年上半年漏洞事件数量仍超过 2025 年全年。由此形成的格局是：合约层面小问题频发，而运维、密钥管理和软件供应链环节偶有极其严重的失守。10 月目前的情况也符合这一规律：10 月 23 日，攻击者利用 Initia 一个 Move 函数的缺陷铸造无抵押的 AUSD 并跨链转移到以太坊，Initia 随即暂停了主网和 rollup。这起事件的损失为数百万美元，而非数亿美元。
第四季度有三个指标值得关注。第一，在 Bitget 事件证明安全设备可能成为入口之后，交易所是否会披露提币链路上涉及哪些供应商和内部系统。第二，节点和钱包软件的发布纪律，即安全修复多快进入正式版本，以及运营方升级的推动力度。第三，资金追回率。如果冻结和协商归还能像 9 月那样持续将总损失削减三分之一，行业实际承担的安全成本将与标题数字有明显差别，尽管攻击者仍会在代码之外寻找最薄弱的环节。