加密新闻

2026年7月对于去中心化金融的安全而言具有里程碑意义。Solana上模因币的管理结构BonkDAO的代码运行完美，但这并未阻止攻击者从金库中盗走约2000万美元。这并非传统意义上的黑客攻击：从技术角度看，投票完全合法。

这一事件生动地说明了治理攻击如何成为黑客的标准工具，而人为因素则成为他们的主要盟友。此外，如今对过时智能合约的AI分析既是威胁，也是网络犯罪分子的万能钥匙。

对去中心化的攻击

2026年7月6日，BonkDAO遭遇治理接管，约4.43万亿枚BONK代币从金库中被盗。攻击者利用DAO架构的根本性弱点以及社区的被动性，执行了一笔完全符合代码的交易。

这一手法简单得令人发指：黑客以常规提案Bonk Improvement Proposal #76（旨在奖励投票参与者）为幌子，植入了一个将资金转移到自己地址的恶意函数。为了达到法定人数，他在中心化交易所花费约440万美元，购入了BONK总发行量的1%。在投票率极低的背景下，这足以控制近100%的选票。六天后，该提案自动执行。

这一事件暴露了DAO治理系统的关键缺陷：缺乏决策执行的时间延迟机制、支配巨额资金的法定人数门槛过低，以及团队缺乏紧急否决权。

一年前，类似尝试针对Compound协议的DAO发起。2024年7月，攻击者试图通过恶意提案提取499,000枚COMP代币（约2410万美元）。在代币总供应量投票率通常仅为4-5%的情况下，这一票数足以实现完全控制。那次攻击在提案通过后才通过谈判得以化解。

低投票率和代币集中并非代码漏洞的利用，而是Web3去中心化机制的系统性问题。难怪早在2026年初，以太坊联合创始人Vitalik Buterin就呼吁社区开发更完善的DAO形式，称占主导地位的代币治理模式“低效且脆弱”，易受接管攻击。

审计并非安全保证

据Kerberus分析师称，2025年被黑客攻击的智能合约中有90%成功通过了审计。大多数攻击并不需要寻找复杂的零日漏洞——攻击者使用了早已为人熟知的方法：

• 重入错误（reentrancy）；
• 访问控制错误；
• 预言机操纵；
• 协议业务逻辑中的逻辑错误。

跨链桥尤其令人担忧。自2022年以来，它们累计损失超过28亿美元——约占Web3所有被盗资金的40%。跨链消息的复杂性创造了巨大的攻击面，专家们很难全面评估。

2026年提供了几个典型案例：Truebit因整数溢出被黑客盗走2640万美元；对IoTeX桥的攻击控制了验证者的私钥；以及今年最大的DeFi漏洞利用——通过LayerZero上的桥从Kelp协议中提取约116,500枚rsETH，价值2.92亿美元。

提示词取代审计员

当专家们研究重复模式时，他们遇到了一个对手，对其而言这种分析是例行公事。2025年12月，Anthropic宣布使用AI模型来寻找智能合约中的漏洞。在由405个真实被黑客攻击合约组成的SCONE-bench基准测试模拟中，神经网络成功攻击了其中207个，总计提取了5.501亿美元。

这在实践中已经发生：Chainalysis专家记录到多个几乎相同的对不同合约的同时攻击尝试，这表明漏洞的自动化枚举正在发生。黑客攻击的门槛下降速度明显快于防御质量的提升。

密钥比合约更重要

没有任何智能合约审计能够阻止过去两年最大的盗窃事件。据Chainalysis数据，私钥被盗约占所有被盗资金的40%——超过任何其他攻击向量。

2025年2月Bybit被黑客攻击的事件颇具代表性，该交易所损失了14.6亿美元的ETH。攻击者干预了资金转移过程，在Safe界面中替换了数据。签名者批准了一笔表面正确的交易，实际上却将钱包控制权交给了网络犯罪分子。2026年6月，Humanity Protocol也以类似方式受害，因开发者受感染电脑上的密钥访问权限损失约3100万美元。

什么才是有效的？

当被攻击的不是代码而是决策过程时，仅靠审计是不够的。行业正在将重点转向：

• 消除单点故障的MPC钱包；
• 支持社交恢复的账户抽象；
• 用于抵御钓鱼攻击的passkey认证；
• 硬件和冷钱包取代软件解决方案。

防护正逐渐从一次性检查转向实时动态威胁监控。项目正在部署Forta Network和Hypernative等自动化系统，在交易被打包进区块之前监控内存池中的异常活动。这一模式已显示出有效性：2025年9月，Chainalysis的Hexagate系统在Venus协议攻击准备阶段提前18小时检测到，并在最终交易前20分钟自动阻止了攻击。

Web3架构的设计初衷是激进的目标——排除对人的信任，将治理交给数学。黑客统计数据却显示了相反的效果。如果开发者点击了钓鱼链接，而社区在DAO被接管时沉睡，那么完美编写的代码也无能为力。区块链经济的主要系统性漏洞不在于算法，而在于线路两端仍然是人。

我的结论：行业正在经历根本性的范式转变。我们习惯于信任代码，但真正的威胁在于社会工程和治理流程。那些不结合人为因素重新审视其安全模型的项目，将为此付出极其高昂的代价。