加密新闻

2026年7月成为行业的标志性时刻：管理Solana上模因币的组织BonkDAO的代码运行无误，但国库中约2000万美元不翼而飞。从经典意义上讲，这并非黑客攻击——从协议角度看，投票是合法进行的。这是一个鲜明的信号：针对治理机制的攻击正成为新常态，而人为因素正变成攻击者的主要目标。

攻击去中心化：这是如何运作的

7月6日，BonkDAO遭遇治理接管。攻击者利用社区的消极态度，在伪装成参与者奖励的常规提案BIP #76中植入恶意功能。通过在中心化交易所花费约440万美元，他购入了BONK发行量的1%，在低投票率下足以达到法定人数。六天后，交易自动执行，提取了4.43万亿枚代币。

问题的根源在于DAO本身的架构：缺乏执行决策的时间延迟、法定人数门槛过低以及缺乏紧急否决权。这不是漏洞利用，而是模型的根本缺陷。一年前，Compound曾遭遇类似尝试，但成功化解。然而，这种可重复性本身就表明存在系统性危机。难怪Vitalik Buterin在2026年初就呼吁重新审视过时的DAO模型，称其“薄弱且易被接管”。

审计并非万能药

当DAO苦于“人为”漏洞时，智能合约则展现出相反的问题。据分析师数据，2025年被攻击的合约中90%都成功通过了审计。攻击者并不寻找复杂的零日漏洞，而是利用老旧且广为人知的方法：重入错误、访问控制问题、预言机操纵。

跨链桥尤其脆弱，自2022年以来已损失超过28亿美元——约占Web3中被盗资金总额的40%。其架构的复杂性创造了巨大的攻击面，难以全面评估。2026年的典型案例包括：Truebit因旧合约中的整数溢出被攻击（损失2640万美元）、对IoTeX桥验证器的攻击（损失440万美元），以及年度最大漏洞利用——通过LayerZero桥从Kelp协议中提取2.92亿美元。

人工智能：黑客的新工具

情况因人工智能的发展而进一步恶化。早在2025年12月，Anthropic就展示了AI模型如何在智能合约中寻找漏洞。在对405个真实被攻击合约的测试中，神经网络成功攻击了其中207个，“提取”了5.501亿美元。这不是理论：Chainalysis已记录到多次同步攻击尝试，表明漏洞的自动化枚举正在发生。黑客攻击的门槛正在迅速降低——现在发动攻击往往只需正确表述请求，而非成为Solidity专家。

密钥比合约更重要

然而，近年来最轰动的盗窃案并非代码错误所致。据Chainalysis数据，2024年所有被盗资金中约40%来自私钥被盗。2025年2月Bybit被攻击损失14.6亿美元是最鲜明的例子：攻击者篡改了Safe界面中的数据，签名者批准了外观上正确的交易。类似地，2026年6月，Humanity Protocol因开发者电脑上的恶意软件损失了3100万美元。

什么有效？

答案不在于一次性审计，而在于保护范式的转变。行业正朝着消除单点故障的MPC钱包、支持社交恢复的账户抽象以及passkey认证方向发展。实时动态威胁监控正成为关键趋势。Forta Network或Hypernative等系统在交易进入区块前监控内存池中的异常。这种方法已被证明有效：2025年9月，Venus协议在最终攻击前20分钟自动暂停，挽救了所有资金。

Web3被设计为一个排除对人信任的系统。但统计数据是无情的：完美的代码在开发者点击的钓鱼链接或沉睡的DAO社区面前无能为力。看来，区块链经济的主要系统性漏洞不在于算法，而在于线路两端仍然是人类。只要这一点不变，安全性就不仅取决于数学，还取决于我们预见人为错误的能力。