Blockaid报告：2026年上半年加密行业遭遇212起攻击，损失11亿美元

2026年上半年加密货币漏洞攻击事件达212起，损失约11亿美元

根据安全公司Blockaid发布的一份报告，2026年上半年，加密货币项目在212起已确认的漏洞攻击事件中损失约11亿美元。这标志着有记录以来半年内攻击事件数量的最高水平，与2025年全年相比，漏洞攻击数量增加了3.4倍。

重大事件与总损失

被盗资产的总美元价值低于前一年，这主要是由于缺乏像2025年2月Bybit遭受的15亿美元损失那样的单次重大窃案。2026年，影响KelpDAO、Drift Protocol、Resolv和CowSwap的四起最大单一事件总计造成了约7.07亿美元的损失，占该期间总损失的64%。

具体事件包括：KelpDAO损失2.92亿美元（发生在4月，与朝鲜有关联的组织所为）；Drift Protocol损失2.85亿美元（发生在4月，与朝鲜有关联的组织所为）；Resolv在2026年发生损失，金额未知；CowSwap在2026年发生损失，金额未知。

排除这些重大案件，其余超过200起漏洞攻击事件造成了约3.58亿美元的损失，突显了加密货币生态系统中小型但频繁的攻击趋势。

攻击方法与安全风险

Blockaid指出，操作安全漏洞——如私钥泄露、签名者基础设施受损、桥接协议遭攻击以及后端系统被入侵——是造成损失的主要原因。尽管智能合约漏洞在事件数量上占多数，但这些操作安全攻击造成的损失约7.89亿美元，占被盗资金总额的74%。

对于探索代币化资产和链上结算的机构而言，尽职调查如今不仅关注合约审计，也聚焦于密钥管理和交易授权流程。报告指出，威胁的性质正在发生变化，攻击者越来越多地利用人为和基础设施弱点，而非仅仅是代码缺陷。

与朝鲜有关联的参与者扮演的角色

约55%的上半年损失与朝鲜有关联的参与者有关。Blockaid将针对KelpDAO和Drift Protocol（分别价值2.92亿美元和2.85亿美元，且相隔17天发生）的攻击归因于与朝鲜民主主义人民共和国有关的组织。同一批攻击者还与Humanity Protocol发生的3200万美元漏洞攻击有关。该公司强调，基于LinkedIn的社会工程学活动最终导致多重签名者被入侵，是这些攻击的常见切入点，并预计该手段将在未来事件中持续出现。

跨链消息协议开发者LayerZero特别指出，KelpDAO桥接攻击是朝鲜Lazarus Group所为。在该攻击中，攻击者操纵了单一验证者配置，伪造了一条跨链消息。Drift Protocol的事后分析报告显示，这是一场持续六个月的精心策划的情报行动，包括与项目贡献者进行线下会面。

网络分布与新型攻击手段

基于以太坊的项目遭受了约3.32亿美元的漏洞攻击相关损失，主要源于代码漏洞；而基于Solana的项目损失约3.26亿美元，其中超过98%的损失可追溯至密钥被盗和签名环境被入侵。Blockaid观察到新型攻击手段有所增加，包括首次出现的人工智能代理被操纵以批准未经授权交易的案例，导致Bankr项目损失21.6万美元。报告还提到了对EIP-7702钱包委托机制的滥用。在StellarBlend攻击事件中，Blockaid的追踪工作帮助在事后隔离了约730万美元的资金。

基于LinkedIn的社会工程学导致了今年四起最大案件中两起的多重签名者被入侵，预计类似手段将继续针对关键基础设施。