加密新闻

2026年7月成为行业的标志性时刻：管理Solana上模因币的组织BonkDAO的代码运行完美，但这并未阻止攻击者从金库中提取约2000万美元。从经典意义上讲，这并非黑客攻击——投票过程合法，交易在代码层面完全有效。

这一事件生动地展示了治理攻击如何成为新常态，而人为因素如何成为黑客的主要目标。与此同时，行业还面临新的威胁：对旧智能合约的AI分析既是安全的福音，也是攻击者的万能钥匙。

对去中心化的攻击

2026年7月6日，BonkDAO遭受治理接管，导致约4.43万亿BONK代币从金库中被盗。攻击者利用了DAO架构的根本弱点和社区的被动性。在名为Bonk Improvement Proposal #76的常规倡议（旨在奖励投票参与者）的伪装下，他植入了一个恶意函数，将资金转移到自己的地址。

为达到法定人数，攻击者在中心化交易所花费约440万美元，购买了BONK总发行量的1%。在投票率极低的情况下，这足以控制近100%的选票。六天后，提案自动执行。系统的关键漏洞包括：缺乏执行决策的时间延迟、法定人数门槛过低以及团队缺乏紧急否决权。

这并非孤例。一年前，针对Compound协议DAO的类似尝试也曾发生：攻击者试图提取499,000个COMP代币（约2410万美元）。那次攻击得以阻止，但仅是通过事后谈判。问题不在于代码，而在于Web3去中心化机制：低投票率和代币集中使系统变得脆弱。难怪早在2026年初，Vitalik Buterin就呼吁重新审视基于代币的主导治理模式，称其“低效、薄弱且易被接管”。

审计并非安全保证

当DAO治理遭受“人为”漏洞困扰时，代码方面的情况则充满悖论。根据Kerberus分析师的数据，2025年被黑客攻击的智能合约中，90%成功通过了审计。大多数攻击并不需要复杂的零日漏洞利用——使用的是早已为人熟知的方法：重入错误、访问控制错误、预言机操纵和业务逻辑错误。

跨链桥尤其脆弱。自2022年以来，它们损失超过28亿美元——约占Web3中被盗资金总额的40%。跨链消息的复杂性创造了巨大的攻击面，难以全面评估。2026年的典型例子包括：Truebit因五年合约中的整数溢出漏洞被黑客盗取2640万美元；对IoTeX桥验证器的攻击导致440万美元被提取；以及年度最大漏洞利用——对Kelp的攻击，从LayerZero桥中提取了116,500个rsETH，价值2.92亿美元。

AI——战场上的新玩家

当专家们研究重复模式时，出现了一个将漏洞分析视为日常任务的对手。2025年12月，Anthropic宣布使用AI模型寻找智能合约中的漏洞。在SCONE-bench基准测试（405个真实被黑客攻击的合约）的模拟中，神经网络成功攻击了其中207个，提取了5.501亿美元。到6月，Chainalysis分析师记录了异常活动：多个几乎相同的攻击尝试同时针对不同合约，这表明漏洞利用正在自动化批量进行。黑客攻击的门槛下降速度超过了防御质量的提升速度。

密钥比合约更重要

然而，没有任何审计能阻止近年来最大的盗窃案。根据Chainalysis 2024年的数据，私钥被盗约占所有被盗资金的40%。2025年2月对Bybit的黑客攻击（14.6亿美元ETH）是最典型的例子：攻击者在Safe界面中替换了数据，签名者批准了表面上正确的交易。2026年6月，Humanity Protocol因开发者受感染电脑上的密钥被盗而损失3100万美元。

防御范式的转变

行业被迫改变。一次性审计正在被动态监控系统取代。MPC钱包、带社交恢复的账户抽象、passkey认证和硬件存储正在成为标准。预防性响应已证明其有效性：2025年9月，Chainalysis的Hexagate系统在攻击前18小时检测到对Venus Protocol的攻击准备，并在最终交易前20分钟自动暂停协议，保住了资金。

Web3架构的设计初衷是排除对人的信任，将控制权交给数学。但统计数据表明恰恰相反：如果开发者点击钓鱼链接，而社区在DAO被接管时沉睡，完美的代码也无能为力。区块链经济的主要系统性漏洞不在于算法，而在于连接两端的人。

我的观点：行业正在经历根本性转变。我们正从代码中的军备竞赛转向流程和基础设施中的竞赛。那些不根据人为因素和AI威胁重新调整治理和安全系统的项目，可能成为Chainalysis报告中的下一个统计数字。