2026 年上半年，加密漏洞利用成本达 9.3986 亿美元，94.4% 来自未经审计的领域

币圈投资者在 2026 年上半年 1 月至 6 月期间，遭遇 135 起已验证的利用（exploits），合计损失 9.39 亿美元，平均每起 696 万美元；据安全研究公司 ack3 称。被盗资金来自已审计项目的部分中，94.4% 是通过审计人员从未查看过的代码或基础设施被拿走的，该公司发布的数据集显示。两起最大事件——Kelp DAO 在 4 月损失 2.92 亿美元，以及 Drift 在更早两周损失 2.85 亿美元——合计占该半年度总损失的 61%，两者均源于基础设施被攻陷和社会工程，而非未被发现的代码漏洞。

Kelp DAO 与 Drift 构成 5.77 亿美元最大事件

Kelp DAO 的 rsETH 在 4 月损失 2.92 亿美元，原因是攻击者在攻陷协议的单一消息验证者后，伪造了一条 LayerZero 跨链消息。更早两周，Solana 永续合约平台 Drift 损失 2.85 亿美元，当时研究人员将行动方与朝鲜联系起来，这些人花了数月时间，通过社会工程逐步获取管理员密钥。两起事件合计约占该半年所有被盗资金的 61%。

私钥被攻陷 侵蚀 Step Finance、Humanity Protocol 与 Resolv

Step Finance 损失 4000 万美元，Humanity Protocol 损失 3200 万美元，Resolv 的 USR 稳定币损失 2450 万美元，均是通过被攻陷的私钥和签名基础设施实现的。利用行为针对的是由人控制的访问入口，而非智能合约代码。

跨链桥从 Verus 到 Taiko 遭遇利用

跨链桥在多起事件中遭到利用：Verus 损失 1150 万美元，Syscoin 损失 800 万美元，Taiko 损失 170 万美元。攻击针对连接不同区块链网络的跨链桥基础设施。

Polymarket 两度受击、CoW Swap 域名被劫持、MEV 机器人损失 750 万美元

Polymarket 在 5 月遭遇 70 万美元内部钱包被抽走，随后在 6 月遭遇 310 万美元前端供应链攻击，将其网站变成了“抽钱”（wallet drainer）。CoW Swap 的域名被劫持。MEV 机器人 jaredfromsubway.eth（以从散户交易者中提取价值而闻名）因落入蜜罐代币而损失 750 万美元。

Truebit 因整数溢出错误损失 2640 万美元

Truebit（未进行审计的项目）因其铸造（mint）定价代码中的整数溢出错误损失 2640 万美元。

20 次最近相关审计中，有 17 次到攻击发生时已至少已有 6 个月

对于被利用项目的 20 次最近相关审计，其中 17 次到攻击发生时已至少已有 6 个月。Ack3 首席执行官兼创始人 Josef Gattermayer 表示，“已审计”需要进一步明确审查了什么、审查日期以及当前关键控制。

常见问题

2026 年上半年，币圈投资者因利用（exploits）损失了多少？
据 ack3 发布的数据集，币圈投资者在 1 月至 6 月期间遭遇 135 起已验证的利用（exploits），合计损失 9.39 亿美元，平均每起 696 万美元。

来自已审计项目的被盗资金中，有多少来自未被审查的领域？
在 2026 年上半年从已审计项目被盗的资金中，94.4% 是通过审计人员从未查看过的代码或基础设施被拿走的，依据 ack3 的研究。

2026 年上半年哪两起事件造成了大部分损失？
Kelp DAO 在 4 月通过伪造 LayerZero 消息损失 2.92 亿美元；两周前 Drift 通过与朝鲜行动方相关的被攻陷管理员密钥损失 2.85 亿美元；两者合计占该半年度总损失的 61%。