2026上半年加密安全报告：攻击转向人而非代码，AI Agent成新猎物，近九成被盗资金无法追回
2026年上半年，加密行业共发生182起公开安全事件，损失约9.56亿美元。比损失总额更值得警惕的是资金去向：据慢雾统计，上半年仅18起事件的被盗资金获得追回或冻结，合计约1.18亿美元，占总损失的12.3%，其余近九成被盗资金已无法挽回。
另一个数字则容易被误读：9.56亿美元较去年同期下降了近六成，但这并不意味着行业变得更安全。损失回落几乎完全来自去年Bybit单一巨额事件（约15亿美元）未再重演；事件数量实际同比上升约50%。攻击并未减弱，而是改变了方向——从针对协议合约，转向针对人。
上半年损失最高的两笔攻击，都没有通过攻破智能合约得手：Drift Protocol被一场持续半年的社会工程渗透卷走约2.85亿美元，起点只是一名多签签署人签下的几笔“看不出影响”的交易；新加坡一名受害者被请进一场政府高官均由AI生成的视频会议，损失约490万新元。最昂贵的漏洞，出现在人身上。
这是OKX Web3安全团队联合慢雾SlowMist、OtterSec发布的《2026 OKX Web3安全半年报》的核心判断之一，与慢雾同期发布的《2026上半年区块链安全与反洗钱报告》有着共同的结论。两份报告分别来自交易平台与安全公司，却指向同一判断：攻击的频次在上升，手法在进化，目标正从“代码”转向“人”。
损失同比下降近六成，攻击活动不降反升
同一组数据，以不同口径切分，会得出相反的结论，这是理解这半年安全态势的前提。据OKX报告援引慢雾被黑档案库的统计，上半年182起事件、损失约9.56亿美元；2025年同期为121起、约23.73亿美元。事件数量同比上升约50%，金额同比下降约60%。金额回落的主因，是2025年2月Bybit事件（约15亿美元，黑客攻陷其签名工具Safe{Wallet}开发者的电脑、篡改官网脚本）属于极端个案。OKX报告对此的判断是：剔除该异常值后，今年的可比损失不降反升。
OKX报告进一步按攻击成因做了双口径拆分：按事件数量，合约与逻辑漏洞仍是头号成因，共85起；但按损失金额，供应链攻击以约2.98亿美元居首，其后为合约漏洞（约1.52亿）与私钥泄露（约1.30亿）。慢雾将这一特征概括为八个字：事件分散化，损失集中化。其中，真正致命的大额损失，正集中于基础设施、跨链与供应链等关键环节。一个失衡的注脚是：跨链桥全半年仅发生20起事件，却造成约3.46亿美元损失。
资金不再主要从合约漏洞流失。OKX报告将这半年的变化归纳为三条主线：大额损失越来越多发生在合约之外；普通用户成为主要攻击目标；AI Agent从工具变为猎物。此外还有两条贯穿始终的线索：渗入开发环节的供应链投毒，以及所有被盗资金最终汇入的洗钱下游。以下逐一展开。
项目方：最大的损失，发生在审计覆盖不到的地方
上半年损失最严重的项目，多数并非未经审计，失守点恰恰位于审计范围之外：签名流程、云端密钥、验证节点、开发者设备。审计能够证明合约逻辑无误，却无法证明这些运营环节安全。
KelpDAO：被攻破的不是合约，而是验证路径。这是上半年最大的单笔损失。据OtterSec复盘，攻击者一边污染LayerZero内部RPC节点，一边对诚实的外部节点发起DDoS。跨链消息本应由多个独立节点交叉验证，但该桥当时采用“1-of-1”单一验证节点配置。唯一的验证点接收到的均为伪造数据，最终对一笔没有真实资产支撑的提款予以放行，约116,500枚rsETH被转出，其中约7,500万美元事后被冻结。单一验证节点长期被视为高风险配置，过去只是架构评审中的理论提示，KelpDAO事件之后，它成为一笔接近3亿美元的现实损失。
Drift：一次历时半年的签名诱导。其机制值得说明：durable nonce相当于一张“预先签署、日后任意时点均可兑现”的交易凭证。攻击者以伪装的量化机构身份、超过100万美元的真实存款经营了半年信任，诱导签署人预签了此类管理交易。签署当时看不出任何影响；当项目方随后调整多签阈值、出现一个缺乏timelock保护的窗口时，攻击者广播了预先获得的签名交易，12分钟内完成31笔提款，卷走超过半数锁仓资产。
单点失守的群像。Resolv Labs的AWS云密钥被盗，攻击者借此增发约8,000万枚无锚定代币；Step Finance为高管设备被攻破、私钥被用于清空金库；Humanity Protocol为开发者设备感染恶意软件、私钥失控。慢雾提到，链上分析师ZachXBT追踪发现其赃款与KelpDAO被盗资金存在混币行为，基本排除内部作案的可能，再次指向Lazarus。
慢雾报告还记录了一组更为底层的案例，将攻击下探至密码学工程实现层面。三起事件的共同点是：漏洞均不在代码审计的常规覆盖范围内。Taiko（6月22日，约170万美元）签名私钥被误提交至公开GitHub仓库；SecondFi（6月21-23日，约240万美元）签名算法缺失随机遮蔽步骤；THORChain（5月15日，约1,070万美元）金库私钥被恶意节点逐步重建。这些案件呈现同一种失败：关键路径上只要存在一个能够独立决定资金去向的节点，它就会成为攻击者的首选目标。
用户侧：攻击始于最熟悉的入口
当攻击协议的成本升高，攻击者转向了用户。据OKX报告，如今的攻击入口多为用户戒备最低的场景：应用商店、搜索结果首位、好友账号、会议软件、招聘流程。恶意浏览器扩展采用“本地持壳、云端投毒”模式；搜索广告投毒则更贴近日常操作，一名用户搜索开发工具点击付费广告后执行了剪贴板劫持木马，转账2万美元时地址被自动替换。招聘面试骗局以技术面试为名共享屏幕记录钱包信息，随后伪造空投页面进行定制化钓鱼。另有两类新手法：假“2FA安全验证”诱导输入助记词，以及业务流程欺诈以“外部审计”为诱饵投递恶意附件。
针对前者，两份报告给出共同底线提示：任何要求输入助记词以进行验证、认证、恢复、升级的页面，均属诈骗。OKX已将防护前移至设备与入口，安全扫描助手累计完成超20万次风险检测，拦截钓鱼网站超700万次。
供应链：被投毒的不是软件包，而是信任本身
供应链投毒的特殊性在于：受害者没有任何失误，只是照常安装了一个依赖、更新了一个版本、访问了一个官方域名。慢雾报告重点记录了三个案例：Shai-Hulud蠕虫在22分钟内发布637个恶意版本，系统性收集云凭据并内置自传播模块；LiteLLM库遭攻击，攻击者先污染其构建流程依赖的安全扫描工具Trivy，导致安全工具反成攻击环节；Lazarus子组织HexagonalRodent以高薪远程岗位诱骗开发者运行后门代码，仅一个季度就从超过2,700个开发者系统中窃取钱包数据。这些案例表明，“官方来源”已不足以等同于“安全”。
AI：从伪造单条内容，到合成整个环境
AI Agent正成为新的攻击目标。5月的Bankr事件中，攻击者利用间接提示注入，请Grok翻译摩尔斯电码后将隐藏转账指令输出，BankrBot直接执行，损失约17.5万美元。慢雾将针对Agent的攻击划分为输入层、记忆层、工具层、供应链层，每层均有真实案例。AI对钓鱼场景的深层改变是将诈骗升级为“合成现实”：攻击者运营一整套AI扮演的虚拟社交环境，如“楚门的世界”行动中受害者面对的是由AI专家与投资者构成的伪造投资群。行业共识是：Agent可以更智能地组织交易，但执行环节必须受到更严格约束。
资金流向：仅约12%可追回，洗钱已高度工业化
上半年可实现资金追回或冻结的事件仅18起，涉及被盗约3.89亿美元，追回或冻结约1.18亿美元，占总损失的12.3%。以Lazarus为例，其洗钱链路环环相扣：隐私协议切断关联、免实名跨链兑换为比特币、混币服务分散资金、最终通过OTC柜台离岸兑换为法币。资金一旦进入跨链与混币环节，追回窗口便基本关闭。隐私协议上半年累计流入约9.74亿美元，其中Tornado Cash约占71%。攻击工具也已“服务化”，如盗币即服务平台Rublevka Team累计窃取超1,000万美元，StepDrainer将整套钓鱼工具明码标价750美元。监管方面，欧盟制裁直指俄罗斯出金通道，迪拜禁止隐私币交易，中国明确限制境外发行稳定币，美国GENIUS Act落地稳定币规则。
结语：将防线前移至确认之前
在Drift签署人按下确认键的瞬间，所有防御均已失去意义。2026年上半年的多数教训，都发生在“确认”这一动作之前。无论是OKX提出的“看懂再签、避免单点风险、先验证再相信”，还是慢雾的“先验证、后信任”，最终都指向同一方向：将判断前移至动作发生之前。面向项目方，应确保关键交易可解析可复核，设置timelock与异常告警；面向普通用户，无法理解的交易不应签署，大额资产应分开存放，任何索取助记词的页面均属诈骗；面向Agent使用者，输入过滤、沙箱、权限分级与二次确认是基础配置。2026年上半年并非安全形势整体好转，而是攻击范式的一次系统性迁移——从合约代码转向人、基础设施与信任本身。在合成现实成为可能的时代，需要验证的不再是某一条信息，而是环境本身。安全的目标从不是要求每一位参与者都成为专家，而是在其最易出错的环节，将风险拦截于确认之前。