加密新闻

2026年7月成为行业的标志性时刻：管理Solana上模因币的BonkDAO组织的代码运行完美，但约2000万美元从金库中消失。没有传统意义上的黑客攻击——投票过程完全合法。这是攻击治理机制成为新常态、人为因素成为攻击者主要目标的鲜明例证。

对去中心化的攻击

2026年7月6日，BonkDAO遭遇治理接管，约4.43万亿枚BONK代币被盗。攻击者利用DAO架构的弱点和社区的被动性，执行了一笔在代码层面合法的交易。黑客伪装成例行提案Bonk Improvement Proposal #76（该提案本意是奖励投票参与者），植入了一个恶意函数，将资金转移到自己的地址。

为达到法定投票人数，攻击者在中心化交易所花费约440万美元，购入了BONK总发行量的1%。在极低的投票率下，这足以控制近100%的投票权。六天后，提案自动执行。系统的关键漏洞包括：缺乏决策执行的时间延迟、法定人数门槛过低，以及团队没有紧急否决权。

这并非孤例。一年前，Compound协议DAO也遭遇了类似尝试，攻击者试图提取499,000枚COMP代币（约2410万美元）。那次攻击在提案通过后通过谈判得以化解。低投票率和代币集中化的问题不是代码中的漏洞，而是Web3去中心化机制的根本性缺陷。

审计并非安全的保证

2025年的统计数据显示出令人担忧的趋势：Web3事件数量几乎减半（降至约200起），但总损失从20亿美元增至29亿美元。据Chainalysis数据，损失达到34亿美元，其中三次最大规模的攻击占全部损失的69%。

Kerberus分析师发现了一个令人震惊的事实：2025年被黑客攻击的智能合约中，90%已成功通过审计。攻击者不再寻找复杂的零日漏洞，而是利用早已为人熟知的方法：重入错误、访问控制错误、预言机操纵以及协议业务逻辑中的逻辑错误。

跨链桥尤其令人担忧。自2022年以来，跨链桥已损失超过28亿美元——约占Web3被盗资金总额的40%。跨链消息的复杂性创造了广泛的攻击面，难以全面评估。

2026年展示了攻击向量的多样性：从Truebit的整数溢出（2640万美元）到IoTeX桥验证器私钥被控制（440万美元），再到今年最大的DeFi漏洞利用——针对Kelp协议的攻击（2.92亿美元）。后者之所以可能发生，是因为单一验证器的配置以及对LayerZero RPC基础设施的攻击。

AI——黑客的新武器

当专家们还在研究重复出现的模式时，一个对此类分析视为常规任务的对手出现了。2025年12月，Anthropic宣布使用AI模型寻找智能合约中的漏洞。在SCONE-bench基准测试（405个真实被攻击合约）的模拟中，神经网络成功攻击了其中207个，提取了5.501亿美元。这证实了黑客攻击的门槛降低的速度快于防护质量提升的速度。

密钥比合约更重要

没有任何审计能够阻止近年来最大的盗窃事件。据Chainalysis 2024年数据，私钥被盗约占被盗资金的40%。2025年2月的Bybit黑客事件（14.6亿美元）尤为典型，攻击者在Safe界面中替换了数据；2026年6月的Humanity Protocol事件（3100万美元）中，密钥通过开发者受感染的计算机被盗。

什么才是有效的？

行业正在改变安全方法：引入消除单点故障的MPC钱包、支持社交恢复的账户抽象、passkey认证和硬件钱包。防护从一次性检查转向实时动态监控。Forta Network和Hypernative等系统在交易进入区块之前监控内存池中的异常活动。预防性响应模型已显示出有效性：2025年9月，Hexagate系统在最终交易前20分钟自动暂停了Venus Protocol，阻止了一次攻击。

Web3架构的设计初衷是消除对人的信任，但统计数据表明恰恰相反。如果开发者点击了钓鱼链接，或者社区在DAO被接管时沉睡，那么完美编写的代码也无能为力。区块链经济的主要系统性漏洞不在于算法，而在于线路两端仍然是人。

我的结论：行业必须承认，技术上的完美并不能解决人为错误的问题。我们需要混合系统，将密码学安全与社会控制机制和行为分析相结合。只有这种方法才能抵御新一代威胁，其中AI正成为万能钥匙。