加密行业正面临新的现实：那些长期经过验证的智能合约已不再安全。人工智能极大加速了漏洞的发现，使得协议上线时进行的一次性审计在短短几个月后几乎毫无用处。这并非假设，而是一个令人担忧的趋势，已得到多家领先分析公司数据的证实。
根据我的市场分析数据，2025年上半年，Web3领域因344起事件造成的损失约为13.2亿美元。扣除追回款项后的净损失估计为12亿美元。攻击的主要方向是代码漏洞：共204起，损失1.516亿美元。尤其引人注目的是，针对运行超过一年的合约的攻击比例有所上升。这表明攻击者系统性地回溯旧有代码库，而不仅仅是追逐新项目。
为何旧审计失效
智能合约可能活跃多年。在此期间，漏洞检测工具不断演变，新的利用技术层出不穷，而旧协议往往失去维护团队和审计师的关注。“最大漏洞窗口”并不会在上线后关闭，反而会扩大。拥有旧基础设施的项目应将重新审计视为常规运营要求。尽管人工智能与针对旧合约攻击增加之间的直接联系尚未得到证实，但这一模式显然得益于自动化工具在大量代码中搜索隐藏缺陷能力的提升。
攻击全景：不仅是代码，还有基础设施
TRM Labs记录到2025年上半年共发生207起黑客攻击，创下其样本数据的新高。总损失达9.72亿美元，不到2024年同期水平的一半。这一差距源于攻击的结构：大多数事件（207起中的125起）涉及智能合约漏洞，但主要损失来自大规模基础设施入侵——针对密钥、签名和资金管理系统的攻击。这类事件仅占15%，却窃取了约76%的资产。
另一个因素是朝鲜相关组织的活动。他们窃取了约6.43亿美元，约占所有被盗资金的三分之二。几乎全部损失来自4月份的两起攻击：针对Drift Protocol和KelpDAO。
Zcash案例：即使是经过验证的代码也存在缺陷
一个典型例子是Zcash事件。安全工程师Taylor Hornby在Orchard池中发现了一个自2022年5月存在至2026年6月紧急修复的关键漏洞。该错误可能允许在无人察觉的情况下无限创建伪造的ZEC。由于池子的隐私特性，团队无法通过加密手段证明漏洞在修复前是否已被利用。尽管Shielded Labs认为这种情况可能性不大，但此案例表明：即使是拥有多年历史的代码也可能包含致命缺陷。
人工智能改变游戏规则
Anthropic发布了一项研究，展示了AI代理发现和利用漏洞的能力。在SCONE-bench基准测试中，代理检查了2020-2025年间405个真实被攻击的合约。一年内，在包含模型知识截止日期后漏洞的测试子集中，成功率从2%提升至55.88%。成功模拟利用的总价值从5000美元增至460万美元。扫描单个合约的平均成本仅为1.22美元。随着成本下降和代理能力提升，从缺陷代码出现到被利用之间的窗口期将不断缩短。
攻击者已经开始攻击已关闭或限制运营的协议。例如，从2023年停止支持的隐私交易解决方案Aztec Connect中，约219万美元被提取。Google威胁情报组首次记录到黑客利用AI开发的零日漏洞。多个新的恶意软件家族正积极使用大型语言模型进行攻击。
我的专业判断：行业正站在根本性变革的门槛上。一次性审计已成过去。未来属于持续监控和自动化重新测试。那些未能适应新现实——即AI同时用于防御和攻击——的项目，将面临成为易攻击目标的风险。投资者应要求团队提供的不仅是“审计”，而是持续安全更新的证明。