加密新闻

2026年7月成为去中心化金融行业的一个标志性时刻。Solana上模因币的管理结构BonkDAO的代码在技术层面运行完美，然而该组织的金库中却蒸发了约2000万美元。没有传统意义上的黑客攻击——投票过程合法进行，但结果却是灾难性的。这是一个鲜明的信号：针对治理机制的攻击正在成为新常态，而人为因素正成为攻击者的优先目标。

对去中心化的攻击：它是如何运作的

2026年7月6日，BonkDAO遭遇了自身治理系统被接管的事件。攻击者利用的不是代码中的错误，而是DAO架构的根本性弱点以及社区的冷漠态度，提取了约4.43万亿枚BONK代币。在名为“Bonk改进提案#76”的常规提案（该提案旨在奖励投票参与者）的伪装下，黑客植入了一个恶意函数，将资金转移到自己的账户。

为了达到法定投票人数，他在中心化交易所花费了约440万美元，购入了BONK总发行量的1%。在投票率极低的情况下，这足以控制近100%的选票。六天后，该提案自动执行。系统中没有时间延迟机制，低门槛的法定人数要求以及团队缺乏否决权，都成了攻击者的有利条件。

这并非孤例。一年前，针对Compound协议DAO的类似尝试也曾发生。2024年7月，攻击者试图通过恶意提案提取499,000枚COMP代币（约2410万美元）。在4-5%的标准投票率下，这样的票数足以控制投票结果。那次攻击在提案通过后，仅通过谈判才得以化解。

低投票率和代币集中化并非漏洞利用，而是Web3去中心化机制的系统性问题。以太坊联合创始人Vitalik Buterin早在2026年初就呼吁社区开发更完善的DAO形式，称基于代币的主导治理模式“低效且脆弱”，容易受到接管攻击。

审计并非万能药

当DAO治理饱受“人为”漏洞困扰时，代码方面的情况却充满悖论。根据Kerberus分析师的数据，2025年被黑客攻击的智能合约中，90%都成功通过了审计。大多数攻击并不需要复杂的零日漏洞利用——攻击者使用的是早已为人熟知的方法：重入错误、访问控制问题、预言机操纵以及业务逻辑中的逻辑错误。

跨链桥尤其脆弱。自2022年以来，它们已损失超过28亿美元——约占Web3中被盗资金总额的40%。跨链消息传递的复杂性创造了巨大的攻击面，而这一攻击面在物理上很难全面评估。2026年的典型案例包括：由于旧合约中的整数溢出，Truebit被黑客盗走2640万美元；通过控制验证器私钥对IoTeX桥发起的攻击（损失440万美元并铸造了1.11亿枚代币）；以及年度最大规模的漏洞利用——通过单一跨链消息验证器从Kelp协议中提取了2.92亿美元。

人工智能作为新威胁

当专家们还在分析重复出现的模式时，一个对这些分析而言只是例行公事的对手出现了。2025年12月，Anthropic宣布使用AI模型来寻找智能合约中的漏洞。在SCONE-bench基准测试（包含405个真实被黑客攻击的合约）的模拟中，神经网络成功攻击了其中207个，提取了5.501亿美元。黑客攻击的门槛下降的速度超过了防御质量提升的速度。不久前，寻找漏洞还需要经验丰富的Solidity开发者，而现在只需要一个正确的提示词。

密钥比合约更重要

没有任何审计能够阻止近年来最大的盗窃事件。根据Chainalysis 2024年的数据，私钥被盗是约40%被盗资金的原因。Bybit被黑客攻击（损失14.6亿美元的ETH）是最典型的例子：攻击者篡改了Safe界面中的数据，签名者批准了一笔表面上正确的交易。2026年6月，Humanity Protocol因开发者电脑感染恶意软件而存储的密钥泄露，损失了3100万美元。

行业正从一次性审计转向动态监控。像Forta Network和Hypernative这样的系统会在交易被纳入区块之前监控内存池中的异常活动。预防性响应模型已经证明了其价值：2025年9月，Hexagate的监控在最终交易前20分钟阻止了对Venus Protocol的攻击。

Web3架构的设计初衷是排除对人的信任，将治理交给数学。统计数据却显示了相反的效果。如果开发者点击了钓鱼链接，而社区在DAO被接管时沉睡，那么完美编写的代码也无济于事。看来，区块链经济的主要系统性漏洞不在于算法，而在于线路两端仍然是人。

我的评论：行业正在经历根本性的范式转变：我们正从代码中的军备竞赛转向流程和基础设施中的竞赛。那些不投资于实时机制、不重新审视治理模型的项目，有可能成为下一个受害者。问题不在于攻击是否会发生，而在于你能多快地做出反应。