加密新闻

2026年7月成为去中心化金融行业的一个标志性时刻。BonkDAO——Solana上模因币背后的组织——的管理代码完美运行，没有出现任何错误。然而，这并未阻止恶意行为者从金库中盗取约2000万美元。从经典意义上讲，这并非黑客攻击：投票合法进行，交易完全符合协议规则。

这一事件并非异常，而是威胁演变的必然结果。我们正在目睹一个根本性转变：黑客不再破解代码，而是破解流程和人。治理攻击正成为主流，人为因素成为攻击者的主要攻击向量。与此同时，一种新威胁已在地平线上显现——人工智能，它比任何审计团队都更快地分析旧合约的漏洞。

对去中心化的攻击

对BonkDAO的攻击方案因其简单和高效而令人震惊。黑客伪装成关于参与者奖励的常规提案BIP #76，植入了一个恶意函数，允许将资金转移到其地址。要达到法定人数仅需440万美元——这笔资金足以购买BONK发行量的1%，并在极低的参与率下控制近100%的投票权。六天后，该提案自动执行。

问题的根源在于DAO本身的架构。缺乏执行时间延迟、低法定人数门槛以及团队缺乏否决权，使治理变成了安全“漏洞”。这不是对代码错误的利用，而是去中心化机制的系统性缺陷。一年前，针对Compound也发生过类似尝试，但被成功阻止。2026年初，Vitalik Buterin已批评以代币为导向的DAO，称其“薄弱”且“易被夺取”。不幸的是，现实证实了他的话。

审计并非保障

当一些人在寻找治理漏洞时，另一些人则因那些似乎早已为人所知的技术缺陷而受害。据分析师称，2025年被攻击的智能合约中有90%成功通过了审计。攻击者并未发明新东西，而是利用经典错误：重入攻击、访问控制问题、预言机操纵以及业务逻辑中的逻辑错误。

跨链桥尤其脆弱。自2022年以来，它们损失超过28亿美元——约占Web3中被盗资金总额的40%。此类系统的复杂性创造了巨大的攻击面。2026年的案例颇具代表性：Truebit因五年合约中的整数溢出被攻击损失2640万美元，对IoTeX桥验证器的攻击导致440万美元被提取，当然还有年度最大漏洞利用——对Kelp的攻击，从LayerZero桥中提取了2.92亿美元的rsETH。

提示词取代审计员

新的、或许也是最令人担忧的趋势是使用AI寻找漏洞。2025年12月，Anthropic宣布创建SCONE-bench基准测试，包含405个真实被攻击的合约。神经网络成功“攻击”了其中207个，在模拟中提取了5.501亿美元。目前，Chainalysis已记录到对数十个合约的多次同步攻击尝试，这表明漏洞的自动化枚举正在发生。黑客攻击的准入门槛下降的速度快于防御质量的提升。

密钥比合约更重要

然而，任何审计都无法阻止近年来最大的盗窃案。私钥泄露是40%被盗资金的原因。Bybit案例损失14.6亿美元ETH是最鲜明的例子。攻击者在Safe界面中替换了数据，签名者批准了“正确”的交易，从而将钱包控制权交出。Humanity Protocol也遭遇了类似命运，其密钥通过开发者受感染的计算机被盗。在这些场景中，MPC钱包、社交恢复或passkey认证都不会是多余的。

行业正朝着实时动态威胁监控的方向发展。Forta Network和Hypernative等系统已证明其有效性，在2025年9月阻止了对Venus Protocol的攻击。但主要结论仍然不变：如果人类点击钓鱼链接或在DAO被夺取时沉睡，完美编写的代码也无能为力。也许区块链经济的系统性漏洞不在于算法，而在于线路两端仍然是人类。

我的观点：我们正站在一个时代的门槛上，在这个时代，“通过代码实现安全”最终让位于“通过流程实现安全”。那些不重新审视其治理模型并部署预防性监控系统的项目，将为此付出极其高昂的代价。AI黑客攻击不是未来，而是现在，忽视它就意味着给自己签署死刑判决。