加密货币遭黑客攻击的频率越来越高，而非降低。Liquid Network资金流失事件揭示了真正的问题：$1.5 million花费用于守护$5 billion资产。
# 为什么加密货币屡遭黑客攻击 — $1.5M 守护 $5 Billion
关键要点
- 加密货币被黑客攻击的频率越来越高，而非降低：大约 $1.4 billion 被盗，涉及 250 次攻击，发生在 2026 年，而 $2.7 billion 被盗，涉及 146 次攻击，发生在 2025 年 —— 平均每次盗窃金额变小，但频率大幅上升。
- [Blockstream](https://blockstream.com) [Liquid Network](https://liquid.net) 黑客事件暴露了其背后的腐败激励：一个 $1.5 million 安全预算用于保护 $5 billion 资产——支出比例为 0.03%。
- 自称 "white hat" 的人归还了 3,400 BTC，并保留了 598.5 BTC（~$47 million）作为自封的赏金——大约是整个安全预算的 30x。
- 被泄露的密钥和社会工程——而非 smart-contract bugs——已超越代码利用，成为今年按美元价值计算的 DeFi 损失的主要原因。
- 持久的教训：安全风险如今已成为首要的、可定价的投入要素，而最终存活下来的协议，将是那些将安全视为核心产品而非事后补救的协议。
2026年9月6日，有人从支撑Liquid的联邦钱包中取走了约4,000枚比特币——价值约3.2亿美元。这并非密钥被盗。11-of-15多重签名机制完好无损，且 peg-out 授权密钥从未被触碰。一名陌生人发现了Liquid所运行的开源代码库Elements中的一个漏洞，铸造了没有真实比特币支持的L-BTC，并像普通客户一样通过正常渠道将其赎回。储备金在约23分钟内从4,200枚BTC骤降至197枚BTC。
随后出现了奇怪的一幕。攻击者没有逃跑。他们在比特币交易中写入了“we are whitehats. contact us on chain”，并开始公开协商 $320 million 退款，一次一个 OP_RETURN 消息。一天后，他们归还了 3,400 BTC —— 占赃款的 85% —— 并保留了 598.5 BTC，约 $47 million，作为自封的赏金。
这是每位创始人、交易者和LP都应坐直身材的数字：on September 9, the attacker told the world that Blockstream had allocated just $1.5 million to secure $5 billion in assets. "Your dereliction of duty is obvious," they wrote, threatening to keep the rest unless Blockstream paid a 10% bounty.
这个比率就是2026年加密货币安全的全部故事。不是技术失败，而是激励失败。如果你想了解为什么加密货币总是被黑客攻击，别再读智能合约事后分析了，开始读预算电子表格吧。
## 为什么攻击面从代码转移到了人？
十年来，行业将安全视为代码审查问题：更多审计师、更多形式化验证、更多针对重入和溢出的漏洞赏金。攻击者只是将目标上移。2026年，密钥泄露攻击超越智能合约漏洞利用，成为DeFi按美元价值计算的主要损失原因——因为那里现在坐拥无人看管的价值。
看看今年最严重的一次单一盗窃事件。四月，[Drift Protocol](https://drift.trade)（Solana 上最大的永续合约交易所）损失了约 2.85 亿美元。这不是漏洞，而是一场为期六个月的朝鲜情报行动（被追踪为 UNC4736，或 AppleJeus）。特工们伪装成一家量化交易公司，在多国举办的会议上与贡献者面对面会面，并投入超过 100 万美元的自有资金以建立可信度。随后，他们攻破了两位贡献者——一位通过恶意代码仓库，另一位通过伪造的 TestFlight 钱包应用，该应用利用了 VSCode 和 Cursor 中的静默代码执行漏洞。Drift 的智能合约曾在 2022 年接受过 Trail of Bits 的审计。审计结果干净，但在十二分钟内，通过一个零时间锁的 2/5 多签钱包被洗劫一空。
同样的模式，不同的日子：KelpDAO 因攻击者向其单一受信验证器输入虚假数据而损失约 $292 million。Tectonic 因抵押品稀薄和拉高出货预言机损失约 $75 million。Coldcard 因固件随机数漏洞损失 $115–130 million。这些都不是巧妙的零日漏洞。它们是单一信任点，缺乏纵深防御。
频率才是关键信号。2026年发生250起攻击，损失达$1.4 billion，而2025年为146起，损失$2.7 billion。损失金额减少，事件数量却大幅增加——平均单次盗窃规模更小、速度更快，且自动化程度不断提高。桥接和跨链基础设施目前已涉及26起攻击（占总数的10%以上），而2025年仅为3起。这标志着盗窃行为的专业化：一条由半自动化攻击者构成的长尾，正在持续收割生态系统中资金薄弱的边缘领域。
## 当“white hat”保留 $47 million 时，谁是赢家？
Ledger首席技术官Charles Guillemet称Liquid事件“更像是敲诈而非白帽黑客行为”。他对手段的判断是正确的——先转移资金再谈判属于胁迫，而非负责任的漏洞披露。但令人不安的是涉及的金额。一个能在23分钟内转走$320 million的漏洞，按任何严肃的赏金标准都价值数百万美元。此事之所以演变为丑闻，唯一原因在于Blockstream从未自行评估这一风险。攻击者替他们完成了定价——而反常的是，市场正在悄然认同这一定价。
赢家很容易列举。那些多年来一直呼吁设立真正赏金的安全研究人员，刚刚收到了最有力的招募说辞：找到重大漏洞的潜在收益极其巨大的活生生证明。审计公司、保险公司和监控公司也将受益——它们的服务需求即将激增。攻击者显然也是赢家。
输家：L-BTC 持有者，他们的资金在网络暂停期间被冻结，却信任了一条其运营方仅投入风险价值 0.03% 来保护的侧链。而 Blockstream 的声誉受到的打击最为严重——这并非一家小型初创公司，而是该领域内对比特币最为严肃的公司，即便如此，其安全投入仍相差数个数量级。
## 这种情况以前发生过吗——还是说这是全新的？
黑客归还被盗资金的历史由来已久：2021年的Poly Network（$610 million，全部归还），2023年的Euler（$197 million，大部分归还）。但那些是被抓获后选择赔偿的窃贼。Liquid事件的不同之处在于定性：攻击者在盗窃被发现前就自称白帽，随后利用归还资金作为筹码，迫使项目方公开让步。
这是一个新品类 —— 可称之为带披露表格的勒索软件。之所以奏效，是因为一个更深层、更久远的问题：加密货币的安全预算与风险敞口相比严重错配。Liquid事件只是攻击者首次公开将项目的安全预算作为犯罪理由加以利用。从某种扭曲的角度看，这是成熟的标志 —— 攻击者现在比许多创始人更懂加密经济学。
## 未来三年将走向何方？
三个预测，均与价格无关。第一，安全支出将专业化，否则协议将被收割。$1.5-million-to-$5-billion比例无法辩护且已公开；预计严肃项目将汇聚于将TVL的个位数基点（最低）分配给安全，其余将被洗劫一空。
第二，“手持枪支的白帽”将成为公认的 —— 尽管丑陋 —— 景观特征。无论监管机构称其为勒索，还是法院称其为盗窃，激励机制已锁定：一个陌生人发现关键漏洞，获得了受害者整个安全预算30倍的报酬。这还会再次发生，因为市场持续为奖金买单。
第三，保险和认证将成为护城河。在2026–2027年的大洗牌中存活下来的协议，不会是合约最巧妙的，而是拥有真正安全团队、真实赏金、时间锁和保障的。DeFi即将变得无聊 —— 而无聊正是机构所等待的。
## 这对交易者意味着什么？
将安全风险视为一阶、可定价的输入 —— 就像对待流动性风险或监管风险一样，而不是作为一个附注。"黑客折价"是真实且复合的：Tectonic的TVL在遭遇攻击后从$121.7 million崩塌至约$3 million。当协议被黑客攻击时，流动性不会回来。这种不对称性是残酷的 —— 你并没有因将资金停放在单一验证者桥接或未经审计的借贷市场中而获得尾部风险补偿。
集中度是隐性的相关性。L-BTC、联邦侧链和单一验证者桥接看起来像是"Bitcoin"或"ETH"敞口，但它们承载着基础资产不具备的软件风险和对手方风险。基础链没有被黑客攻击；被攻击的是封装层。如果你的投资论点是"I want Bitcoin exposure,"持有封装版或侧链版本会悄无声息地增加你未获得补偿的风险。
还有一个"卖铲子"的观察：贯穿每个黑客攻击周期的反复主题不是代币 —— 而是安全栈。审计师、保险商、监控公司以及妥善资助安全的协议，才是持久价值积累的地方。这不是推荐；只是指出行业真正稀缺的资源现在在哪里：信任。
## 账单终将到期
Blockstream很可能会让L-BTC持有者全额赔付 —— Adam Back表示锚定将按1:1覆盖。最终，资金大多会追回。但教训不会消失：一个为营销和代币发行筹集了数十亿美元的行业，却只花了$1.5 million来守护$5 billion —— 还需要一个拿着文本编辑器的陌生人，在枪口下，用30倍的预算给它算账。
下次有人问为什么加密货币总是被黑，别给他们看事后分析报告。给他们看电子表格。
## 常见问题
为什么加密货币在2026年还总是被黑？
损失的主要原因已从智能合约漏洞转移到密钥泄露、单一验证者和社会工程学。攻击者将目标上移到人为和基础设施层，因为那里有无人看管的价值。
Liquid Network 的“白帽黑客”真的是白帽吗？
这有争议。攻击者归还了 85% 的资金，但保留了约 $47 million 并威胁如果不给 10% 赏金就不归还 —— Ledger CTO Charles Guillemet 等人称这“更像是勒索而非白帽黑客行为。”
Blockstream 在安全上花了多少钱？
攻击者披露，Blockstream 投入约 $1.5 million 来保护 Liquid 上约 $5 billion 的资产 —— 约占 0.03%。
Liquid 被黑事件是否波及比特币本身？
没有。比特币基础层未受影响。漏洞存在于 Elements（驱动 Liquid 侧链的软件）以及围绕 peg 的联邦基础设施中。没有 multisig 密钥被泄露。
对 DeFi 用户来说，最重要的单一教训是什么？
安全性现在是一个可定价的一阶风险。将资金集中在 single-verifier bridges、federated sidechains 或 unaudited protocols 中，会增加你无法获得补偿的尾部风险 —— 而且被黑协议很少能恢复其流动性。