2025 年和 2026 年初的加密货币攻击按损失金额 超过 以往任何年度纪录，损失高达 34 亿美元，横跨智能合约漏洞、供应链被攻陷、预言机操纵、密钥被盗以及政治动机的破坏等多种场景，集中暴露出行业中高度集中的信任点——而不仅仅是糟糕的代码——依然是最致命的系统性风险。
2025–2026 年加密攻击全景
各方统计方法不同，但都指向同一方向：损失规模空前。
Chainalysis 估算，2025 年加密货币被盗总额达到 34 亿美元，创历史新高。TRM Labs 与 TechCrunch 分别 报道，该数字约为 27 亿美元。CertiK 公布，2025 年上半年因 344 起事件造成的损失已达 24.7 亿美元，超过 2024 年全年净损失的 19.8 亿美元。
作为对比，TRM Labs 先前曾 测算，2024 年全年被盗总额约为 22 亿美元。这意味着仅 2025 年上半年，就已超过前一整年。
这一阶段的独特之处不在于事件数量，而在于损失的高度集中。
Immunefi 披露，2025 年第一季度成为加密货币史上“最糟糕”的黑客季度：仅 40 起事件就造成 16.4 亿美元损失，是 2024 年第一季度的 4.7 倍。其中 Bybit 与 Cetus 两起事件合计约 17.8 亿美元，占 CertiK 统计的 2025 年上半年损失总额的约 72%。
攻击类别本身变化不大：智能合约漏洞、预言机操纵、私钥泄露、交易所运营失误以及国家级网络攻击等依旧齐聚一堂。发生变化的是“规模”。2025 年上半年平均单起攻击损失几乎翻倍，且绝大部分损失高度集中在少数几起灾难性事件上。
串联起下面这些最严重案例的共同点并非技术复杂度，而是信任的集中——集中在单一密钥、单一服务商、单一治理结构或单一流动性场所。
延伸阅读： Trump's 48-Hour Iran Warning: What It Did To BTC, ETH And XRP
Resolv：一次“无抵押铸币”如何把稳定币变成资产负债表危机
2026 年 3 月 22 日，攻击者 攻陷了托管在 Resolv AWS 密钥管理服务上的一枚高权限私钥，并利用它对协议的 USR 稳定币执行了两笔严重超额的铸币操作。
第一笔在仅约 10 万美元 USDC (USDC) 作为抵押的情况下，铸造了 5000 万枚 USR；第二笔又铸造了 3000 万枚。
最终，大约 8000 万枚无抵押代币 被铸入 流通。用于铸币的密钥只是一个外部拥有账户（EOA），而非多签，且合约没有设置铸币上限、预言机校验或金额验证。
攻击者将铸出的 USR 通过 wstUSR 与稳定币路径，兑换成约 11,400 枚 以太币 (ETH)，价值约 2400 万至 2500 万美元。USR 价格在 17 分钟内于 Curve Finance 上 暴跌 至约 0.025 美元，跌幅达 97.5%。
稳定币被攻击的杀伤力之所以格外巨大，是因为它会瞬间揭示其抵押资产究竟扎实还是脆弱。
协议原本约 9500 万美元的抵押池在技术上仍然“完整”，但由于多了 8000 万枚无抵押代币在外流通，Resolv 实际上是用约 9500 万美元资产对应约 1.73 亿美元负债。包括 Aave、Morpho、Euler、Venus 与 Fluid 在内的 DeFi 协议纷纷采取措施隔离自身风险敞口。
从攻击、被迫抛售、脱锚、负债缺口到恐慌蔓延，这一连串反应在一天之内迅速完成。
延伸阅读： Bitcoin's S&P 500 Correlation Just Flashed A Crash Warning
Bybit：改变全年格局的 15 亿美元超级漏洞
从金额上看，加密货币史上没有任何单一事件可与 2025 年 2 月 21 日 发生在 Bybit 上的盗窃相提并论。
链上调查员 ZachXBT 最先发现，该交易所 以太坊 (ETH) 冷钱包中有逾 14.6 亿美元的可疑外流。FBI 随后将这起盗窃 归因于 朝鲜 TraderTraitor 集群（隶属 Lazarus Group），并将金额定格在约 15 亿美元。
共有约 401,347 枚 ETH 被盗，超过此前加密史上规模最大的 Ronin Network 和 Poly Network 两起事件的总和。
这起漏洞并非源自 Bybit 自身代码失误。Sygnia 与 Verichains 的取证调查 追踪 到根本原因是第三方多签平台 Safe{Wallet} 被供应链攻陷。攻击者最晚自 2 月 4 日起就已入侵一名 Safe 开发者的 macOS 工作站，窃取其 AWS 会话令牌，并于 2 月 19 日 向 Safe 网页端注入恶意 JavaScript。
该代码仅在 Bybit 特定以太坊冷钱包发起交易时触发。六名多签签名人中的三人未察觉异常便完成了这笔交易的签名。
Bybit CEO 周受资（Ben Zhou） 确认，在事件发生时交易所仍保持偿付能力，事前储备超过 160 亿美元。72 小时内，Bybit 通过 Galaxy Digital、FalconX、Wintermute 与 Bitget 提供的紧急贷款 补足 其 ETH 储备。但截至 3 月 20 日，被盗 ETH 中约 86% 已在近 7000 个钱包中被换成 比特币 (BTC)。
教训相当直接：一个场所，一次入侵，一起事件，足以重塑整整一年的行业损失画像。很多最严重的加密事故，往往就发生在用户误以为“规模=安全”的地方。
延伸阅读： After A $44M Hack, CoinDCX Now Faces A Fraud FIR
Sui 上的 Cetus：2.23 亿美元攻击如何冻住一条旗舰 DEX
2025 年 5 月，Cetus——Sui (SUI) 网络上最大的去中心化交易所——遭遇一起 攻击，其流动性池被抽走约 2.23 亿美元。根本原因是协议集中流动性数学库中的整数溢出漏洞。
其中一个函数在阈值比较时出现“少了一位”的错误，使得 攻击者只需存入 1 个代币，就能获得价值数百万美元的流动性头寸。
Sui 验证人采取了极端措施，冻结 了链上约 1.62 亿美元被盗资金，该举措在治理投票中获得 90.9% 支持。约 6000 万美元在冻结前已被桥接至以太坊。
Cetus 在停机 17 天后 恢复 运营，通过追回资金、自有资金 700 万美元以及 Sui Foundation 提供的 3000 万 USDC 贷款重新填充流动性池。
当一条链上的旗舰流动性场所“出问题”时，受损的不只是一个协议：代币价格、链的声誉、用户信心，以及生态参与者不得不出面紧急干预的必要性——这一整片“爆炸半径”远远超出协议本身。
延伸阅读： Brazil Freezes Crypto Tax Rules
GMX：头部永续合约协议为何仍损失逾 4200 万美元
2025 年 7 月，GMX 在其部署于 Arbitrum 的 V1 版本中，因跨合约重入漏洞被 攻击，损失超过 4200 万美元。用于执行平仓指令的函数接受智能合约地址作为参数，而非强制要求标准钱包地址。
在 ETH 退款步骤中，执行流程被转移至攻击者的恶意合约，从而实现重入，并将 GMX 内部定价数据操纵到实际市场价格的约 1/57。
GMX 提出 以 10% 作为白帽赏金，约 500 万美元，期限为 48 小时，并… 一份法律行动的威胁。攻击者分批退回了约 3,750 万至 4,050 万美元，并保留了赏金。随后，GMX 为受影响的 GLP 持有人完成了 4,400 万美元的补偿计划。
资金被归还这一事实并不意味着系统运转良好。白帽叙事、悬赏提议以及部分资金回收，能够减轻市场反应，但并不能消除底层的安全失败。
具有讽刺意味的是，该漏洞是在 2022 年修复此前一个错误时被引入的。GMX V2 未受影响。
Also Read: Bitcoin Drops In Hours After Trump Threatens Iran Power Plants
Nobitex：当加密货币攻击演变为地缘政治战争
2025 年 6 月，伊朗最大的加密货币交易所 Nobitex 遭到黑客攻击，在包括 比特币 (BTC)、以太坊、狗狗币 (DOGE)、XRP (XRP)、Solana (SOL)、Tron (TRX) 和 TON (TON) 在内的多条区块链上损失约 9,000 万美元。
亲以色列黑客组织 Gonjeshke Darande（又名 Predatory Sparrow）宣称对此负责。
攻击发生时，以色列与伊朗之间正处于军事冲突的活跃阶段。
这并不是一次以财务收益为动机的盗窃。被盗资金被转入带有反伊斯兰革命卫队（IRGC）字样、且无私钥可找回的定制销毁地址——实际上是将 9,000 万美元焚毁，作为一种政治宣示。
次日，攻击者公开泄露了 Nobitex 的全部源代码、基础设施文档以及内部隐私相关研发资料。
有些加密攻击根本不是以利润最大化为目的的进攻，而是破坏行动、姿态表达或网络战。这使得它们在几乎所有维度上都不同于协议漏洞攻击：动机、手段、后果，以及无法追回的损失。Nobitex 此后报告部分恢复运营，但进入交易量在 7 月上旬同比下降了逾 70%。
Also Read: SBF Backs Trump's Iran Strikes From Prison
Abracadabra：通过与 GMX 关联的 Cauldron 打击 DeFi 借贷的攻击
2025 年 3 月 25 日，攻击者从 Abracadabra Finance 的借贷市场（称为 cauldrons）中抽走了约 6,260 枚 ETH——当时价值约 1,300 万美元。被攻击的 cauldron 使用 GMX V2 流动性池代币作为抵押品，而此次攻击依赖一种由闪电贷辅助的自我清算技术，利用了 gmCauldron 合约中状态跟踪错误。
被盗资金从 Arbitrum 被跨链桥接至以太坊。PeckShield 是最早发现并发出预警的安全公司之一。GMX 确认其自身合约未受影响。
Abracadabra 提供了 20% 的漏洞赏金。这是该协议第二次遭遇重大攻击；在 2024 年 1 月，Abracadabra 曾遭受一场价值 649 万美元的攻击。
这一事件凸显了可组合性风险。某个协议单独看上去可能很安全，但通过集成与依赖关系却会变得脆弱。
对 DeFi 用户而言，真正关键的是“引擎盖下面”的东西——协议接受哪些类型的抵押品、调用了哪些外部合约——而不是他们把资金存入的那个表层品牌。
Also Read: CFTC And SEC Align On Crypto Haircuts
Hyperliquid 与 JELLY：市场结构风波与中心化疑问
2025 年 3 月 26 日，一名攻击者在 Hyperliquid 上开立了 410 万美元规模的 JELLY 模因币空头头寸，同时开出两个对冲的多头头寸，然后将该代币的现货价格拉高了逾 400%。
在该空单被强制平仓后，Hyperliquid 的自动化 HLP 金库继承了这一深度亏损头寸，金库未实现亏损达到约 1,350 万美元。
随后，Hyperliquid 的验证者强制平仓了所有 JELLY 头寸，并按攻击者最初开空时的价格 0.0095 美元结算，而不是外部预言机当时报告的 0.50 美元。
这一操作在两分钟内完成，暴露出该协议每组仅依赖四个验证者。
这里的丑闻不只是损失本身。
Bitget CEO 陈格（Gracy Chen）公开称 Hyperliquid 为“FTX 2.0”。随后一个月，该协议的总锁仓量从 5.4 亿美元骤降至 1.5 亿美元，HYPE 代币下跌 20%。之后，Hyperliquid 升级为通过链上验证者投票决定资产下架。
当一个去中心化场所危机时以中心化方式行事，会发生什么？这个问题对任何研究受众都有价值，即便其美元损失小于最大规模的攻击案例。这次事件暴露出一条信誉断层线。
Also Read: Strategy Holds 3.6% Of All Bitcoin
Meta Pool：无限铸币风险，以及为何低流动性会掩盖更大的漏洞
2025 年 6 月，Meta Pool 遭遇一场智能合约攻击，导致攻击者在未存入任何 ETH 抵押的情况下铸造了 9,705 枚 mpETH——当时价值约 2,700 万美元。
漏洞位于 ERC-4626 的 mint 函数中。攻击者通过协议的快速解押功能绕过了正常的冷却期。
但实际损失仅约 13.2 万美元。相关 Uniswap 交易池的流动性极其薄弱，导致攻击者只套现了 52.5 枚 ETH。
一只 MEV 机器人抢先了部分攻击，抽走约 90 枚 ETH 的流动性，之后又将这部分资金返还给协议。用户最初质押的 913 枚 ETH 一直由 SSV Network 的运营方安全保管。
有时候漏洞本身远比实际损失严重得多。在这个案例中，利用路径所对应的理论危害是灾难级的，但糟糕的流动性限制了可被提取的价值。对于评估 DeFi 风险的人而言，这一区别非常重要，也使这个案例远比简单按损失金额排序更具研究意义。
Also Read: UK Set To Block Crypto Donations
Cork Protocol：获得 a16z 支持，却仍然被攻破
2025 年 5 月 28 日，Cork Protocol 遭遇攻击，损失约 1,200 万美元。攻击者通过利用 Cork Hook 中 beforeSwap 逻辑缺陷以及缺失的访问控制，提取了 3,761 枚 wstETH。
根本原因在于缺少输入验证，再加上在没有防护措施的前提下允许任何人创建市场，使得攻击者可以使用合法的 DS 代币作为赎回资产，创建一个伪造市场。
Cork 曾在 2024 年 9 月获得 a16z crypto 和 OrangeDAO 的投资。
结论很简单：机构投资者、顶级风投背书以及光鲜的品牌，并不能消除技术风险。读者不应将融资质量与协议安全性混为一谈，而审计——无论多么详尽——也不是保证。一旦发现问题，所有合约立即被暂停，但资金已经无法追回。
Also Read: Early Ethereum Whale Buys $19.5M In ETH
KiloEx：作为反复出现的 DeFi 弱点的预言机操纵
2025 年 4 月，KiloEx 在 Base、opBNB 与 BNB Smart Chain 上损失了约 700 万至 750 万美元，原因是攻击者利用平台 MinimalForwarder 合约中的访问控制漏洞。该缺陷允许任何人调用价格设定函数。
攻击者在开立杠杆头寸时将预言机价格操纵为极低的 ETH 价格——100 美元——然后在价格被报为 10,000 美元时平仓。
KiloEx 提出支付 75 万美元（10%）的白帽赏金。四天后，攻击者归还了所有被盗资金，KiloEx 宣布不会提起法律诉讼。
平台在暂停 10 天后恢复运行，并公布了针对在停机期间仍有持仓用户的补偿计划。
这是阐释预言机风险的最干净案例。错误的定价数据可以让攻击者在虚假的价格下开仓和平仓。许多被宣传为“复杂”的攻击，归根结底仍建立在老问题之上——糟糕的价格预言机、可预测的假设、薄弱的验证。预言机操纵仍然是 DeFi 中最持久的弱点之一。
Also Read: Gold's WorstWeek Since 1983
模式揭示了什么
上面这 10 起事件在机制、规模和动机上各不相同，但在结构上却呈现出相似的模式。
财务破坏最严重的事件——Bybit 和 Resolv——根本不是由链上漏洞引起的，而是基础设施层面的失效：一个是开发者机器被攻陷，另一个则是单一、毫无防护的增发密钥被存放在云端基础设施中。两起事件之所以造成灾难性后果，正是因为在用户以为不存在中心化信任点的地方，实际上存在着这样的中心化信任点。
像 Cetus 和 GMX 这样的协议层攻击确实涉及代码漏洞，但其“爆炸半径”是由治理响应决定的——验证者是否能冻结资金、漏洞赏金谈判是否成功、以及生态参与者是否会出手提供紧急融资。
Nobitex 从任何有意义的角度看，都不是协议层攻击；那是一场地缘政治破坏行动。
整体图景并不令人乐观。事件数量减少并不意味着损失减小，平均严重程度正在上升。仅朝鲜一国就在 2025 年的盗窃中就占据了超过 20 亿美元，同比增加 51%。
在加密领域，最关键的安全边界已经从链上逻辑转移到了链下基础设施、密钥管理以及人的操作安全。
对散户用户、代币投资者和协议团队而言，数据都指向同一个结论。问题不再是一个协议的智能合约是否通过审计，而是：信任究竟集中在何处——以及当这些信任点失效时，会发生什么。
