加密行业正面临新的现实：项目启动时进行的一次性智能合约审计正迅速失去效力。人工智能极大加速了漏洞发现过程，将那些曾经“经过验证”的旧合约变成了攻击者的诱人目标。这要求各项目从根本上重新审视安全策略。
2025年上半年的分析数据描绘出一幅令人担忧的图景。根据CertiK的数据，Web3领域在344起事件中损失约13.2亿美元，考虑追回款项后的净损失估计为12亿美元。代码漏洞仍是主要攻击向量，共发生204起案件，涉及金额1.516亿美元。然而，最令人警惕的信号是针对运行超过一年的合约的攻击呈系统性增长。攻击者不仅追逐新项目，还刻意回归旧代码库。
为什么“一次性审计”不再有效
智能合约可能持续活跃多年。在此期间，漏洞查找工具不断进化，新的利用技术层出不穷，而旧协议的支持团队往往在安全方面失去关注。与普遍看法相反，最大漏洞窗口期并不会在项目启动后关闭。重复审计不应再是例外，而应成为常规运营要求。同时，数据显示，这一趋势正是由能够在大规模代码中发现隐藏缺陷的自动化AI工具的改进所推动。
TRM Labs的统计数据尤其值得关注：半年内记录了创纪录的207次攻击。尽管9.72亿美元的总损失低于前一年，但这些攻击的结构具有指示性。大多数事件（207起中的125起）涉及智能合约漏洞，但主要财务损失（约占被盗资产的76%）源于基础设施层面的入侵——针对密钥、签名和管理系统的攻击。这凸显了安全不仅限于合约代码。
与朝鲜相关的黑客组织的活动仍是一个关键因素。据估计，他们窃取了约6.43亿美元，占所有被盗资金的三分之二，其中几乎全部损失来自4月份针对Drift Protocol和KelpDAO的两次攻击。
AI作为黑客工具：从理论到实践
Anthropic在SCONE-bench基准测试上的研究展示了令人震惊的趋势。检查真实被攻击合约的AI代理在一年内将漏洞发现率从2%提升至55.88%。成功模拟漏洞利用的成本从5000美元增至460万美元。同时，扫描单个合约的平均成本仅为1.22美元。随着这一价格下降和代理能力提升，缺陷代码出现与其被利用之间的时间间隔将无情缩短。
Zcash的案例也颇具代表性：Orchard池中的一个关键漏洞从2022年一直存在，直到2026年才被紧急修复。这明确证明：即使是拥有多年历史的代码也可能包含致命缺陷。而对早已关闭的Aztec Connect协议的攻击（从中盗取了219万美元）则证实，攻击者连“已死”的项目也不放过。
专家观点：行业必须认识到：安全不是开发的一个阶段，而是一个持续的过程。项目方，尤其是那些基础设施陈旧的项目，需要部署持续监控和自动化审计系统。忽视这一趋势无异于邀请装备了AI的黑客来攻击你的代码。