根據 CoinGecko 於 8 月 27 日發布的《加密貨幣安全狀況報告》，從 2025 年 1 月到 2026 年 7 月期間，加密貨幣平台在 245 起有記錄的安全事件中損失了 36.3 億美元。
摘要
- 從 2025 年 1 月到 2026 年 7 月期間，加密貨幣平台在 245 起有記錄的事件中損失了 36.3 億美元。
- 全球最大的十起攻擊事件合計佔所有記錄被盜資金的 72.5% 以上。
- 在研究期間，經過審計的平台佔了 147 起事件，佔報告損失的 88.44%。
- CoinGecko 公開報告指出，只有 11% 的事件涉及常規智能合約審計範圍內所涵蓋的漏洞。
- 活躍的鏈上保險覆蓋範圍下降了 20.2%，至 1.302 億美元，同時有五個協議退出或轉型。
損失高度集中。最大的十起攻擊事件合計佔總被盜價值的 72.5% 以上，而基礎設施和供應鏈入侵造成了超過 18 億美元的損失。
CoinGecko 指出，私鑰洩露是中心化交易所面臨的主要風險。去中心化應用程式因智能合約漏洞損失了約 5.46 億美元，而這兩類平台也面臨預言機操縱和內部機制故障。
這些數字代表 CoinGecko 的事件數據集。發布的摘要並未明確說明是否已扣除所有追回或凍結的資產，因此 36.3 億美元應視為其報告的損失估計，而非最終淨損失總額。
加密貨幣安全損失集中在重大攻擊中
2025 年 2 月的 Bybit 漏洞事件是其中最大的一起，涉及約 14.4 億美元。該攻擊涉及交易簽名基礎設施被入侵，而非交易所智能合約的缺陷。
其他重大事件包括 2.92 億美元的 KelpDAO 漏洞、2.85 億美元的 Drift Protocol 攻擊，以及 2.23 億美元的 Cetus 漏洞。它們不同的攻擊方式顯示了為什麼單一安全控制措施無法覆蓋整個行業的攻擊面。
基礎設施攻擊可能針對私鑰、員工設備、前端介面、軟體依賴項和橋接運營商。這些組件通常不在常規審計所審查的智能合約範圍內。
國家支持的組織也採用了更長、更複雜的操作。正如先前報導，兩起與北韓有關的攻擊通過社會工程和橋接基礎設施入侵竊取了約 5.77 億美元，而非普通的合約缺陷。
審計僅涵蓋少數被利用的弱點
CoinGecko 發現，在 245 個受影響的平台中，有 147 個（約 60%）在遭受攻擊前已完成獨立安全審計。這些平台佔記錄損失的 88.44%。
這一發現並不能證明審計人員批准了易受攻擊的組件。CoinGecko 表示，只有約 11% 的事件涉及常規智能合約審計範圍內的缺陷。
這些範圍內的失敗仍然造成了約 3.96 億美元的損失。其他大多數事件涉及外部基礎設施、未經審計的軟體更新、受損的憑證或審計未評估的治理機制。
審計也是特定代碼版本的快照。審查後所做的更改可能會引入新的漏洞。其有效性取決於範圍、方法、審計人員的經驗以及開發人員是否解決了發現的問題。
在相關報導中，Ripple 的安全審查在受影響的代碼到達用戶之前發現了 96 個問題，這表明如果審計結果在啟動之前發現問題，可以防止損失。它們不能取代持續監控和營運安全。
鏈上保險容量在攻擊增加時下降
領先的鏈上保險協議的活躍覆蓋範圍下降了 20.2%，從 1.632 億美元降至 1.302 億美元。根據 CoinGecko 的數據，累計賠付金額仍接近 3300 萬美元。
截至 2026 年 8 月，追蹤的九個協議中有五個已變得不再活躍或轉入其他業務領域。CoinGecko 將這種退縮部分歸因於風險升高、保費昂貴以及難以吸引資本提供者。
1.302 億美元的覆蓋數字不應直接與 36.3 億美元進行比較，作為正式的覆蓋比率。前者是時間點衡量，而後者涵蓋了 19 個月內的累計事件。
保單也包含狹窄的定義。有些涵蓋經驗證的智能合約故障，但排除網路釣魚、私鑰被盜、員工錯誤、市場波動以及涉及不受支援鏈的損失。
交易所越來越依賴自籌儲備
中心化交易所越來越傾向於建立投資者保護基金，而不是購買全面的外部保險。這些儲備可以在違規後提供更快的賠償。
然而，保護基金並不一定等同於受監管的保險。覆蓋範圍取決於交易所的條款、儲備保管、資產組成以及對合格事件的裁量權。
儲備證明證明解決了另一個問題，通過顯示交易所控制與客戶餘額相對應的資產。它們並不確立安全的密鑰管理，也不證明所有負債都已披露。
報告的下一個考驗將是平台是否將審計擴展到智能合約之外，進入營運系統、橋接器和軟體依賴項。保險提供者還必須確定是否可以提供更廣泛的保護，同時不使保費變得難以負擔。
