加密新闻

2026年7月，BonkDAO——Solana上模因币的管理组织——的代码运行得完美无缺。尽管如此，仍有约2000万美元被从金库中取出。从惯常意义上讲，这并非黑客攻击：从代码角度来看，投票是合法进行的。

这是治理攻击成为新常态的一个鲜明例证。人为因素正成为主要攻击向量，而AI对旧智能合约的分析既构成威胁，也成为攻击者的工具。

对去中心化的攻击

2026年7月6日，BonkDAO遭遇治理接管。攻击者利用了DAO架构的根本性弱点以及社区的被动性。在名为“Bonk改进提案#76”的常规倡议（旨在奖励参与者）的伪装下，黑客添加了一个恶意函数，用于将资金转移到自己的地址。

为了达到法定人数，他在中心化交易所花费了约440万美元，买入了BONK总发行量的1%。在极低投票率的背景下，这足以控制近100%的选票。六天后，该提案自动执行。

攻击的成功暴露了关键缺陷：缺乏执行时间延迟、法定人数门槛过低以及团队没有否决权。这并非孤例。一年前，Compound协议的DAO也遭遇过类似尝试，但成功被击退。

低投票率和代币集中并非漏洞利用，而是去中心化机制的问题。难怪Vitalik Buterin早在2026年初就呼吁重新审视基于代币的主导治理模式，称其易被接管。

审计并非保障

当DAO在寻找没有一行漏洞利用代码的漏洞时，代码方面的问题恰恰相反。据Kerberus分析师称，2025年被黑客攻击的智能合约中有90%成功通过了审计。攻击者使用多年来已知的方法：重入错误、访问控制问题、预言机操纵以及业务逻辑中的逻辑错误。

跨链桥尤其脆弱。自2022年以来，它们已损失超过28亿美元——约占Web3中被盗资金总额的40%。跨链消息传递的复杂性创造了巨大的攻击面，难以全面评估。

2026年提供了具有代表性的案例：Truebit因整数溢出被黑客攻击损失2640万美元；通过控制验证器私钥对IoTeX桥的攻击（440万美元）；以及年度最大漏洞利用——通过单个跨链消息验证器从Kelp协议中提取了2.92亿美元。

提示词取代审计员

新的对手是AI。2025年12月，Anthropic宣布其模型在SCONE-bench基准测试中成功攻击了405个真实被黑客攻击的智能合约中的207个，提取了5.501亿美元。这降低了黑客攻击的门槛：对于典型攻击，现在只需正确构造提示词即可。

Chainalysis已经记录到多起几乎完全相同的同时攻击不同合约的尝试，这表明存在自动化的漏洞扫描。

密钥比合约更重要

没有任何审计能阻止最大的盗窃案。据Chainalysis数据，私钥被盗是约40%被盗资金的原因。Bybit被黑客攻击损失14.6亿美元就是一个鲜明例子：签名者在Safe界面中批准了被替换的交易。Humanity Protocol在2026年6月也遭遇类似情况，因开发者受感染电脑上存储的密钥而损失3100万美元。

什么才是有效的？

行业正从一次性审计转向动态监控。MPC钱包、带社交恢复的账户抽象、passkey认证和硬件存储正在被采用。Forta Network和Hypernative等系统在交易进入区块之前监控内存池中的异常活动。

预防性响应模式已经奏效：2025年9月，Chainalysis的Hexagate系统在Venus协议遭到攻击前18小时检测到可疑活动，并在最终交易前20分钟自动暂停了该协议。资金安然无恙。

Web3架构的设计初衷是排除对人的信任，将治理交给数学。统计数据显示了相反的效果。如果开发者点击了钓鱼链接，而社区在DAO被接管时沉睡，完美的代码也无能为力。看来，区块链经济的主要系统性漏洞并不在于算法，而在于线路两端仍然是人。

我的结论：行业正从“保护代码”的范式转向“保护流程”的范式。但除非我们解决治理中的人类冷漠问题并建立真正的制衡机制，否则任何技术解决方案都只是临时补丁。