区块链技术防线日益加固：审计公司可以在数小时内揪出合约漏洞，多签钱包、硬件签名设备和零知识证明，让链上盗窃对哪怕是顶级黑客而言都愈发艰难。
但在2026年上半年，窃贼在不写一行攻击代码的前提下，就卷走了价值1.24亿美元的加密资产。
他们用的是扳手——而不是漏洞。
CertiK情报团队发布的《Intel3D 2026年上半年“扳手攻击”报告》于7月23日公布，详尽记录了针对已知或疑似加密资产持有人的线下胁迫性攻击激增的趋势。如果按这一节奏发展，全年损失规模几乎将翻倍超过2025年。对所有将资产托管在交易所以外的个人，以及对长期将“人身安全”视作他人课题的整个行业而言，这组数据都不容忽视。
要点速览
- 2026年上半年，针对加密持有人的线下胁迫攻击造成1.24亿美元损失，创历史新高，如趋势延续，全年损失恐翻倍2025年。
- CertiK数据显示，攻击不再集中于新兴市场，北美和欧洲案件占比急剧上升。
- 行业一味沉迷链上安全，形成明显盲区：缺乏安全运营训练的自托管，正演变为可量化的风险敞口。
- 受害者画像正在从超高净值人群和交易所高管，转向中等体量持币人和在社交媒体上“高调晒币”的个人。
- 普通散户只“买硬件钱包、不学物理防护”的做法，非但未必降风险，反而可能在无形中放大被盯上的概率。
CertiK所谓“扳手攻击”到底在统计什么
“扳手攻击”（wrench attack）一开始只是加密圈里的黑色幽默——一句讽刺式的安全术语。
密码学家 Bruce Schneier 早在加密货币出现前几十年就提出了背后的经济学逻辑：只要对你施加足够的物理压力，再强的密码学防护都形同虚设。在加密圈，这个玩笑逐步演变为梗图，最终变成被严肃记录的威胁类别。
CertiK旗下Intel3D团队专门追踪这类导致受害者被迫转移加密资产的线下胁迫事件：包括入室抢劫、街头持械抢夺、绑架，乃至在枪口下强迫解锁设备。其统计方法覆盖了公开报道的案件，并在已知钱包地址的情况下辅以链上溯源，同时整合了38个司法辖区的警方披露信息。
1.24亿美元一项，仅覆盖2026年1月1日至6月30日期间的案件；不包括诈骗、钓鱼或任何链上技术攻击，专指以实际暴力或可信暴力威胁为前提，迫使受害者交出资产的事件。
这1.24亿美元并非模型推演，而是警方记录或链上取证已确认的损失；考虑到大量未报案情形，真实数字几乎可以肯定要高得多。
这是方法论上的关键点。多数司法辖区，涉加密资产的抢劫案件报案率显著低于传统抢劫，一方面因为受害者担心资产来源被监管追问，另一方面也因其认为追回几率渺茫。基于暗网论坛讨论及保险理赔样本，CertiK分析师估算：被正式记载的案件仅占真实总量的60%至70%。
这意味着，2026年上半年，实际损失规模可能逼近1.8亿至2亿美元。
延伸阅读： “AI紧急断电法案”或赋予特朗普政府一键关停模型的权力
放到历史里看：2026年上半年有多夸张
要理解1.24亿美元的含义，必须回到时间轴。
2020年前，线下物理加密劫案几乎是“统计噪音”。研究者 Jameson Lopp 通过其个人安全事件数据库进行的最早系统性追踪显示，2015至2018年，每年全球被公开记录的相关袭击不足20起，损失顶多以数十万美元计。
转折点出现在2021年。比特币(BTC)首次攻上6万美元，主流媒体铺天盖地报道“加密富翁”，潜在受害者池第一次真正变大。Lopp的数据库记录显示，2021年物理攻击增加到32起，而2020年仅15起；到2023年，这一数字已超过60起；再到2025年，全球确认案件突破100起。
相比Lopp的个人追踪，CertiK的口径更宽，因而金额数据并不直接可比，但二者在趋势上高度一致：都呈加速上行曲线。
按2026年上半年的“年化跑速”推算，全年线下攻击损失将达约2.48亿美元，接近翻倍CertiK此前报告的2025年全年估算值1.32亿美元。
延伸阅读： 据称ChatGPT“差点害死”一名牧师，法院将正式审理
地理版图：欧美正成为线下加密犯罪新高地
很长一段时间里，围绕物理加密攻击的叙事都指向拉美和东南亚——高加密渗透率、执法能力相对薄弱，加之原有黑帮网络成熟，具备精准打击高净值个体的土壤。如今，这一地理框架已明显过时。
CertiK 2026年上半年数据显示，按案件数量计，美国与西欧合计已占全球纪录案件的38%，而2023年时这一比例仅约22%。
英国、荷兰和德国在2026年均出现了多起引发广泛关注的恶性案件。
其中，美国以19%的占比成为单一国家中案件数最多的市场。
这一版图重塑有其结构性原因。美国现货比特币ETF获批、欧洲MiCA合规框架落地等监管常态化过程，将加密财富进一步推到了聚光灯下。机构持有者需要披露持仓，创业者和高管频繁亮相大会舞台谈投资组合；与此同时，多国的税务申报要求形成了“纸面足迹”，部分精细化犯罪网络被指已经设法渗透，以筛选高价值目标。
截至2026年上半年，西欧和北美合计已占CertiK数据集中近四成线下加密攻击案件，较2023年的22%大幅抬升，成为增速最快的区域。
东南亚仍然是高发地之一，尤其泰国、越南和印尼，2026年一季度多起绑架案冲上国际新闻头条。拉美方面，巴西、阿根廷和哥伦比亚在“街头抢手机—连人带链上钱包一并洗劫”的小额抢劫案件中占比偏高。但整体分布的趋同意味着，这已不再是“只发生在远方”的故事——发达市场的持币人也不能再自我安慰“这和我无关”。
延伸阅读： 苹果2,000美元可折叠iPhone：九月发布前我们已知的一切
2026年的真正目标：不是富豪，而是“中产持币人”
在大众想象中，“扳手攻击”的受害者往往是那些曝光度极高的加密亿万富豪。但CertiK对2026年上半年案件画像的分析表明，这一印象正快速过时：受害者重心明显向“中等体量”持币人迁移，即链上可见或可推断持仓在10万美元至500万美元之间的群体。
这一变化背后是冷冰冰的犯罪经济学。超高净值人群——包括交易所创始人、大型基金经理及知名公众人物——如今大多配备专业安保团队，且在区块链活动上使用化名或复杂结构，攻击这类目标的“失败成本”极高。相比之下，中等体量持币人往往选择自托管、普通住宅起居，对物理安全几乎没有系统性部署。从风险—收益比看，攻击者的天平已明显倾向这类群体。
社交媒体暴露，在相当比例案件中被证实是犯罪前期踩点的关键环节。
CertiK的溯源分析发现，在2026年上半年可部分还原前期侦察过程的案件中，约43%的受害者曾在公开场合谈论自己的加密持仓、晒出硬件钱包、讨论投资收益，或频繁出没于公开加密活动并留下影像记录。Telegram群组、Twitter/X发帖、Discord频道，甚至在LinkedIn上标明“从事加密相关岗位”的职业资料，都在多起案件事后取证中反复出现。
在2026年上半年那部分能够重建前期情报链条的案件中，有43%的受害者曾通过社交媒体、活动出席或职业信息，公开释放“我持有加密资产”的信号。
另一类在2026年上半年显著抬头的高危对象，是加密交易所员工及客服人员。有报道称，有组织的犯罪团伙通过社交工程手段，获取到部分不足以直接链上盗币、却足以识别“大额客户”的碎片化数据，并据此反向锁定真实身份与线下生活轨迹，从而在物理世界实施针对性攻击。 公开记录显示，2026 年上半年，美国和英国至少出现了 6 起有案可查的案件，受害人被锁定，很大概率源于攻击者基于内部或泄露数据进行关联分析，这一点可从 CertiK 的事件记录中得到印证。
延伸阅读：Bitget 获新西兰牌照，覆盖 5 类受监管货币服务
自托管悖论：对部分用户而言，硬件钱包反而可能放大风险
过去十年，硬件钱包行业一直在强调将加密资产撤出交易所、掌握在自己手里，可以降低对手方风险。这一点在原本的语境下完全成立：交易所被黑、破产清算、卷款跑路，已经让客户损失了数十亿美元，自托管的确显著降低了这类风险。但 CertiK 的 2026 年上半年数据，暴露出一个行业长期回避的“不舒适现实”。
硬件钱包的持有，本身就是一种“可被推断的公开信号”。
Ledger、Trezor、Foundation Devices 等厂商的购置信息，多次出现在数据泄露事件中，其中最广为人知的是 2020 年的 Ledger 客户数据库泄露事件，这起事故曝光了约 27 万名客户的姓名、电话号码及家庭住址。
这些数据此后一直在黑灰产市场流转，并被与链上分析结果交叉比对，用来粗略估算相关钱包的资金规模。
即便撇开数据库泄露不谈，仅仅是在网络论坛、测评文章或社交媒体上讨论硬件钱包、强调自己“重视自托管”，就足以向攻击者发出一个信号：这名用户极可能持有规模不小的加密资产。CertiK 分析团队在其报告中指出，2026 年上半年遭遇实体攻击的样本中，“硬件钱包相关信号”在攻击前情报收集阶段出现的概率，具有统计学意义上的显著性。
2020 年的 Ledger 数据泄露案暴露了 27 万份包含家庭住址的客户资料。CertiK 对 2026 年上半年事件的分析显示，这批数据至今仍在犯罪网络中流通，并在相当比例的实体攻击案件中，作为前置情报被使用。
这并不意味着硬件钱包“整体有害”。真正的含义在于：如果硬件钱包的普及，没有同步配套相应的操作安全（OpSec）习惯，就会形成一种非常具体、却被严重低估的风险画像。整个行业主流的科普教育，围绕助记词备份、附加口令、多重签名等配置，几乎全部聚焦于链上威胁；对实体威胁的风险建模，却几乎完全交由终端用户自行摸索。
延伸阅读：堪萨斯城皇家 vs 底特律老虎：Polymarket 与 Kalshi 同时下架盘口
攻击路径拆解：1.24 亿美元究竟是如何被夺走的？
在 2026 年上半年事件中，CertiK 将实体攻击划分为五类主要手法：按案件数量计，入室侵害仍是最常见方式，占比约 34%；街头抢劫——通常表现为抢夺手机并随即胁迫转账——占比 28%；绑架勒索虽仅占 14%，但单案损失规模最大，对总金额的贡献远高于其案件占比。
针对性“截停车辆”——即尾随受害者并在行车途中实施拦截——约占 11%；其余为其他或案情不明场景。
其中，“绑架勒索”值得单独关注。
多起 2026 年上半年案件显示，部分作案团伙在下手前，显然已掌握受害人钱包的大致余额，要么有内部情报支持，要么具备较成熟的链上资金追踪与身份画像能力。在至少两起有完整记录的案例中，受害人被拘禁数日，攻击者系统性地“拆解”其钱包结构：资金一旦确认转出，便继续索要更多地址和密钥。
多重签名钱包在部分案件中展现出一定的“抗压”能力。当受害人能够有说服力地证明，单凭自己一人无法完成交易、且其他签名人身份不为攻击者所知或短期无法联系时，已有多起案例最终以“放弃作案”或“削减损失”告终。这是少数在现实世界中对抗实体胁迫、且已有实证效果的技术性防线之一。
绑架勒索案件在 2026 年上半年实体攻击中仅占 14%，却贡献了远高于占比的总损失额；部分受害者被拘禁数日，攻击者以“逐层抽干”方式清空其钱包结构。
时间锁（time-lock）机制与“胁迫钱包”（Duress Wallet）概念——即预先准备一笔小额资产，用于在被胁迫时“交差”——在安全研究文献中出现频繁，但真实世界应用仍非常有限。Glacier Protocol 等高安全自托管框架建议部署胁迫钱包，但在普通零售用户中的采纳率极低。可用技术手段与实际采用率之间的巨大落差，再次复刻了网络安全领域的老问题：往往最需要特定防御措施的人群，最不可能去落实这些措施。
延伸阅读：SpaceX 或收购特斯拉，但自家估值自 6 月以来已回撤 50%
执法端回应：结案率数据释放了什么信号？
实体加密攻击给传统执法体系带来了新的难题。从理论上讲，只要资金在链上流转，就有追踪空间，Chainalysis、Elliptic 等区块链取证机构已多次协助锁定资金流向，帮助追回交易所被盗资产。但在实体胁迫场景中，资金通常会被第一时间导入混币器、跨链桥和隐私协议，这些工具的设计初衷，就是切断取证路径。
从全球范围看，实体加密攻击的破案率显著低于传统抢劫。CertiK 在 2026 年上半年报告中引用的数据显示，全球实体加密攻击案件的侦破率约为 23%，而在可比法域中，传统持械抢劫案件的结案率约为 47%，这一对比可从FBI 犯罪统计中找到依据。资产追回更为罕见：在 2026 年上半年有记录的案件中，能够实现全部或部分资金找回的，不足 8%。
2026 年，美国联邦调查局（FBI）专门的加密犯罪部门已扩容，欧洲多国警方也陆续设立了专项团队。但大量案件具备跨境特征：团伙在多国活动、资金通过去中心化基础设施多次跳转，这在司法管辖与协作流程上制造了大量“缝隙”，显著拖慢了侦查节奏。
全球实体加密攻击案件的侦破率约 23%，仅为传统持械抢劫的一半左右；在 2026 年上半年有记录的案件中，不足 8% 实现了全部或部分资产追回。
监管端虽已有动作。金融行动特别工作组（FATF）在 2025 年底更新虚拟资产犯罪指引，将实体胁迫正式纳入独立类别，要求成员国针对该类案件开展专项培训并建立跨境协作机制。包括新加坡、阿联酋在内的部分司法辖区，已将实体加密犯罪响应纳入国家级网络犯罪框架。但政策落地明显滞后于指引文本，对多数受害者而言，当下现实仍是：立案追责存在不确定性，资产追回概率极低。
延伸阅读：英特尔股价 Q2 财报后大涨 11%，AI 拉动芯片需求超预期
保险定价信号：量化的“实体风险”正在形成
实体加密攻击数据的规模化出现，也正在重塑特种保险市场的精算讨论。自 2023 年起，**伦敦劳合社（Lloyd’s of London）**旗下部分承保团，以及多家百慕大特种保险公司，低调推出与实体加密风险相关的产品。2026 年上半年的数据，很可能推动这一细分市场加速成熟。
现有的加密托管保险，由 Evertas、Aon 以及部分劳合社专营承保团提供，传统上主要覆盖链上盗窃、交易所破产，以及密钥丢失等风险。实体胁迫责任虽已出现于条款中，但价格昂贵且适用范围极窄。随着案件数据积累，精算师可以更精准地定价该类风险，通常意味着覆盖范围会有所扩展，但保费能否为“中端持币用户”所承受，仍是未解之题。
自托管中的“保险缺口”十分明显。Coinbase Custody、BitGo、Anchorage Digital 等机构托管解决方案，一般配套了明确的实物安全要求：包括 SOC 2 合规、武装安保、地理分散的密钥存储等。在这些产品中，物理防护不仅是合规文件，更是保险覆盖的前置条件。而在零售端自托管场景中，则几乎不存在外部约束与强制要求，个人持币者要为全部风险独自买单。
机构级加密托管保险普遍将严格的物理安全标准写入承保条件，而在零售自托管领域，同等水平的安全要求与保险覆盖几乎完全缺位。这类保障在面向散户的自托管市场中几乎是空白，直接让“中腰部持币人”承担了最高的相对风险，却享受着最薄弱的保护。
2026 年上半年（H1 2026）的数据，也可能改变监管层对自托管披露义务的态度。如果“人身物理攻击风险”能够被量化，并且集中于一批可识别的持币人画像——比如活跃的社交媒体用户、硬件钱包购买者、行业会议嘉宾等——那么监管机构就有理由参考其他高风险金融活动的做法，为这一领域设计披露与风险提示框架。眼下这仍停留在政策设想层面，但与两年前相比，支撑这场监管讨论的数据基础已经出现。
延伸阅读：亚马逊在 3 万人裁员中“祭出”Nova 团队，换取更快的 AI 胜利
哪些“安全运营”手段真的能降低人身攻击风险
安全研究社区已经在“物理风险缓释”方面形成了相对清晰的分类体系，并且有事件分析作为支撑。CertiK 在其 2026 年上半年报告中指出，某些安全做法在受害者群体中的出现频率，明显低于其在广义持币人群体中的估计普及率——这种“反向相关性”往往意味着它具有实质性的保护效果。
关联度最高的一项保护因素，其实非常朴素：不要公开披露自己的加密资产持仓。听起来像废话，却几乎每天都在被违背。行业会议圆桌、播客访谈、社交媒体“公开持仓”、职业介绍中，具体的资产规模和配置信息比比皆是。哪怕只是在公开场合说一句“我从 2017 年开始长期持有比特币”，对于攻击者而言也已经是足够强的信号：统计上看，仍在持有的 2017 年入场 BTC 持币人，大概率坐拥可观的未实现收益。
所谓“地理行为不确定性”——不维持高度可预测的行程和动线、不走固定路线、在公开资料中避免暴露家庭住址所在区域等——在事件分析中则是第二梯队的保护因子。再往下，是加固门窗、报警系统、监控摄像头等物理安防硬件。从数据看，这些措施对“入室侵害的目标选择”具有一定威慑，但对有预谋、有准备的攻击，并不能形成完全的防线。
CertiK 的 2026 年上半年样本显示，避免在公开场合披露加密资产持仓，是目前观测到的“单一相关度最高”的防护手段，其对降低“被锁定为目标”的推断风险，明显大于任何一种钱包技术配置。
在技术层面，“多签 + 地理分散共签人”的方案，是现实世界中防范效果最有实证支撑的缓释工具之一。
一旦受害者能够让攻击者可信地相信：没有任何一个场所或个人单独掌握足够多的私钥，从而无法单点发起转账，这起攻击的“经济账”就会难以成立。固然，多签体系并非无懈可击，已有案例显示，犯罪分子会进一步尝试寻找并胁迫其他共签人，但多签方案引入的“摩擦成本”，已经足以劝退相当比例的机会型攻击。
安全研究机构 Rekt HQ 以及包括 Lopp 在内的独立研究者，已经发布了面向“人身威胁场景”的实用安全运营指南。
这些资源客观存在，但相对于庞大的自托管散户群体，利用率极低。钱包应用、硬件设备厂商以及鼓励用户“资产下链、自主托管”的交易平台，整体上都没有将“人身和物理安全教育”放在用户教育或新手引导的核心位置。
延伸阅读：厄尔尼诺概率飙至 81%，预测市场再迎“火灾交易季”
行业需要正视的“自身角色”
对于 2026 年上半年 1.24 亿美元的线下攻击损失数据，加密行业整体反应平淡。无论是主流硬件钱包厂商、头部交易所，还是行业协会，至今鲜有就 CertiK 报告发布公开声明或同步更新用户安全指引。这种冷淡，与行业面对链上攻击时的高度动员——详尽复盘、紧急社区电话会议、即时协议修复——形成鲜明对比。
这种“反差”折射出结构性激励问题。链上安全事故会直接损害协议声誉，并可能触发监管问责；而针对个体用户的人身攻击，虽然引发舆论同情，却很少追溯到具体平台或产品的“责任”。一位因协议漏洞损失资金的用户，会让协议名称频频出现在头条；而一位在自家客厅被刀架脖子、被迫转账的受害者，往往只留下一份当地的警方报案记录。
行业长期推崇的自托管话术——“Not your keys, not your coins”（“没有私钥，就没有资产”）——在塑造文化共识方面极其成功。这一叙事带来了数亿美元级别的硬件钱包销售，也推动了数十亿计资产从中心化交易所迁出。但与这股宣传浪潮相伴而来的，却不是同等力度的“人身与物理安全运营”教育。今天看来，这是一条严重“缺失一半”的信息链，而这部分缺失，已经在可量化的资金损失，甚至部分经证实的人身伤害中显性化。
加密行业在“提倡自托管、把资产搬离交易所”方面极为成功，却始终没有同步给出配套的人身与物理安全运营指南——CertiK 报告中的 1.24 亿美元损失，为这一缺口提供了直观、可计量的注脚。
一些边际变化正在出现。Ledger 在 2026 年初在其官网新增“安全提示”板块，开始覆盖部分物理威胁场景。一些加密原生安全服务商，包括 Casa，已经将“人身威胁建模”纳入多签产品的上手引导流程。由社区主导的教育项目 Bitcoin Security University ，也在 2026 年二季度新增了“物理安全”专项课程模块。这些都是实质性进展，但与问题本身的规模和增速相比，仍显得杯水车薪。
下一篇：Kane 签下 800 万美元芝加哥合约，但 Kalshi 仍将佛罗里达排在首位
结语
2026 年上半年记录在案的 1.24 亿美元“线下物理攻击损失”，绝非统计噪音或偶发现象，而是一个系统性结构的必然产物：密码学与链上安全架构在过去数年突飞猛进，而与之配套的“物理安全文化”几乎原地踏步。
行业已经把链上基础设施打磨得足以对抗高水平对手。随之而来的结果，是将“有决心的窃贼”重新导流到了唯一一个密码学无法直接防御的攻击面：握着私钥的人。
CertiK 的这组数据，是一个门槛时刻。
线下攻击造成的损失，如今在绝对金额、地理分布与受害者画像的广度上，都已构成自托管生态的系统性风险。2026 年的主力受害者画像，并不是亿万富豪创始人，也不是机构托管人，而是典型的“中等体量散户持币人”。恰恰是这一群体，被行业最卖力地劝说“把币提走、自己保管”。与这种倡导同时本应承担的教育义务，至今仍大面积缺位。