加密新闻

BonkDAO——Solana上模因币的管理结构——在2026年7月的代码运行中未出现任何错误。然而，该组织的金库中仍有约2000万美元资金外流。这并非典型的利用漏洞的黑客攻击，而是一笔在代码层面完全合法的交易，并通过真实投票获得批准。我们正在目睹一个令人担忧的趋势：针对治理机制的攻击正变得司空见惯，而人为因素正成为攻击者的首选攻击向量。

夺取治理权：BonkDAO攻击剖析

2026年7月6日，BonkDAO遭遇了去中心化治理被夺取的事件。攻击者利用DAO架构的根本性缺陷和社区的冷漠态度，提取了约4.43万亿枚BONK代币。攻击者伪装成一项关于参与者奖励的常规提案——Bonk改进提案#76，在其中植入了恶意函数，将资金重定向至其地址。

为实现法定人数，他在中心化交易所花费约440万美元，购入了BONK总发行量的1%。在投票率极低的情况下，这足以控制近100%的投票权。六天后，该提案被自动执行。关键漏洞包括：缺乏决策执行的延迟机制、法定人数门槛过低，以及团队没有否决权。

这并非孤例。一年前，Compound协议的DAO也遭遇了类似尝试。2024年7月，攻击者试图提取499,000枚COMP代币（约2410万美元），但该攻击在提案通过后通过谈判得以化解。低投票率和代币集中并非代码错误，而是Web3去中心化机制的系统性问题。

审计不保证安全

当DAO在寻找无需任何一行漏洞利用代码的漏洞时，代码方面的情况则有所不同。根据Kerberus分析师的数据，2025年被黑客攻击的智能合约中，90%都成功通过了审计。大多数攻击使用了早已为人熟知的方法：重入错误、访问控制问题、预言机操纵以及协议业务逻辑中的逻辑错误。

跨链桥尤其令人担忧。自2022年以来，它们已损失超过28亿美元——约占Web3所有被盗资金的40%。跨链消息的复杂性创造了广泛的攻击面，而这一攻击面在物理上很难全面评估。

2026年展示了多种攻击向量：从Truebit旧合约中的整数溢出（2640万美元），到IoTeX桥验证器私钥泄露（440万美元），再到年度最大漏洞利用——对Kelp协议的攻击，因单一验证器导致2.92亿美元被提取，以及对LayerZero RPC基础设施的攻击。

人工智能：新威胁

一种新的对手正在出现，对其而言，漏洞分析只是常规任务。2025年12月，Anthropic宣布使用AI模型寻找智能合约中的漏洞。在SCONE-bench基准测试的模拟中，神经网络成功攻击了405个真实被黑合约中的207个，提取了5.501亿美元。黑客攻击的准入门槛正在下降，其速度超过了防御质量的提升。

密钥比合约更重要

没有任何审计能够阻止近年来最大的盗窃事件。私钥被盗约占被盗资金的40%。2025年2月Bybit被黑客攻击损失14.6亿美元，以及2026年6月对Humanity Protocol的攻击（3100万美元），都是决策过程而非代码被攻破的鲜明例证。

什么有效？

行业正将焦点转向动态监控。Forta Network和Hypernative等系统会在交易进入区块之前监控内存池中的异常活动。Venus Protocol的案例证明了其有效性：Hexagate系统在攻击发生前18小时检测到可疑活动，并在最终交易前20分钟自动暂停了协议。

Web3架构的设计初衷是排除对人的信任，但统计数据却指向相反方向。如果开发者点击了钓鱼链接，而社区在DAO被夺取时沉睡，那么完美的代码也无济于事。区块链经济的主要系统性漏洞不在于算法，而在于线路两端仍然是人。

我的评论：我们正在进入一个时代，Web3的安全性不再由代码质量决定，而是由人类流程的韧性和自动化响应的速度决定。那些不投资于真正监控、不重新审视治理模型的项目，将成为下一个容易得手的目标。