Blockaid 报告：2026 年上半年发生 212 起加密货币漏洞利用事件，窃取金额达 11 亿美元

安全公司 Blockaid 在 2026 年上半年核实了创纪录的 212 起加密货币漏洞利用事件，覆盖多个区块链网络，累计造成 11 亿美元的总损失。该公司 2026 年上半年链上安全报告显示，运营安全方面的失误和关键窃取占据了财务损失的 74%。其中，Restaking 协议 KelpDAO 和 Solana 永续 DEX Drift Protocol 在两起独立事件中合计损失 5.77 亿美元。此次激增表明，较 2025 年全年，高门槛漏洞利用的次数增长了 3.4 倍；6 月共记录 57 起独立事件，为有记录以来的最高月度总数。与 Lazarus Group 相关的朝鲜“Trader Traitor”黑客集群，负责通过针对协议管理员和基础设施开发者的定向社会工程活动，盗走了约 6.09 亿美元的资金。Blockaid 将此次升级归因于攻击者将重点从智能合约漏洞转向人类与运营层面的攻击路径，包括新兴的来自 EIP-7702 钱包委托漏洞的威胁以及 AI 提示注入技术。

朝鲜威胁行为者导致了 2026 年上半年大部分损失

与 Lazarus Group 相关的朝鲜 Trader Traitor 黑客集群，在 2026 年上半年被认为造成了约 6.09 亿美元的 11 亿美元被盗损失。该组织实施了期间规模最大的两起漏洞利用事件：对 Restaking 协议 KelpDAO 的 2.92 亿美元入侵，以及从 Solana 永续 DEX Drift Protocol 盗取 2.85 亿美元。在 Drift 事件中，攻击者通过数周定向社会工程获取了管理层 multisig 控制权，并在不到 12 分钟内完成了 2.85 亿美元的盗取。在 KelpDAO 事件中，漏洞利用涉及对 LayerZero 开发者的社会工程，用于污染 RPC 基础设施，并伪造跨链桥的证明。在这六个月期间，四起重大事件合计占 7.07 亿美元，或 64% 的被盗资金。

新兴攻击向量瞄准钱包委托与 AI 系统

Blockaid 的报告指出，2026 年上半年出现了三条主要安全边界：EIP-7702 钱包委托攻击、AI 提示注入，以及链下跨链桥基础设施漏洞。5 月，有攻击者使用提示注入手段，诱导 Bankr 的 AI Agent 批准一笔未获授权的交易，盗走了 216,000 美元。报告指出，这些攻击面超出了标准审计范围，属于传统安全评审能提供有限保护的领域。根据攻击向量的不同，资金追回率差异显著——因关键账户被攻陷而被盗的资金几乎立刻消失，进入混币器或跨链桥；而协议漏洞有时则可能通过白帽协同或合约暂停实现部分或全部恢复。

Blockaid 警告 2026 年下半年压力将持续

Blockaid 警告，Web3 生态系统应为今年下半年持续的压力做好准备。该公司指出需要重点关注的领域包括：受制裁的民族国家行为者持续开展社会工程活动；围绕 EIP-7702 钱包委托功能的漏洞利用规模化；以及随着去中心化金融采用不断扩大，针对自主 AI 交易代理的提示注入攻击迅速上升。

常见问题

2026 年上半年造成大部分加密货币损失的原因是什么？

据 Blockaid 的报告，运营安全方面的失误和关键窃取占据了 2026 年上半年 11 亿美元损失的 74%。与 Lazarus Group 相关的朝鲜 Trader Traitor 黑客集群，通过针对协议管理员和基础设施开发者的定向社会工程攻击，造成了约 6.09 亿美元的损失。

攻击者是如何入侵 Drift Protocol 和 KelpDAO 的？

在 Drift Protocol 的入侵中，攻击者通过数周定向社会工程获取了管理层 multisig 控制权，并在不到 12 分钟内盗走了 2.85 亿美元。KelpDAO 事件中的漏洞利用涉及对 LayerZero 开发者的社会工程，用于污染 RPC 基础设施，并伪造跨链桥的证明，最终盗走了 2.92 亿美元。

2026 年上半年出现了哪些新的攻击方式？

Blockaid 在 2026 年上半年识别出三类新兴攻击向量：EIP-7702 钱包委托漏洞利用、AI 提示注入攻击，以及链下跨链桥基础设施漏洞。5 月，攻击者使用提示注入手段，诱导 Bankr 的 AI Agent 批准一笔未获授权的交易，盗走了 216,000 美元。