Bitget与Liquid遭黑客攻击，推动第三季度加密货币被盗金额逼近12亿美元

区块链文库报道：

2026年第三季度加密货币黑客攻击造成11.8亿美元损失

安全公司Hacken发布的一份报告显示，2026年第三季度，全球共记录到107起加密货币黑客攻击事件，估计造成约11.8亿美元的资金损失。尽管这一数字反映了该季度遭受了特别严重的打击，但同一数据集也表明，相当一部分被盗资产后来被归还、撤销或由相关方覆盖。

责任归属的破裂：供应链与工具链成为重灾区

Hacken的分析指出，此次损失的主要根源在于责任体系的断裂：总损失的77%（约9.06亿美元）与受感染的第三方供应商、开发者工具漏洞、已公开披露但未部署修复程序的漏洞，以及其他超出典型安全审查范围的组件有关。

该季度还发生了几起引人注目的重大泄露事件，包括Bitget遭受的3.87亿美元黑客攻击、Liquid Network遭受的3.2亿美元利用漏洞攻击、Tectonic遭受的1.2亿美元利用漏洞攻击，以及与Coldcard固件漏洞相关的约1.15亿美元损失。

核心数据摘要

• 总体损失：2026年第三季度，107起加密黑客攻击事件报告损失达11.8亿美元。Hacken将该季度描述为自2025年第一季度以来最具破坏性的时期。
• 供应链与工具链失效：占损失的77%（约9.06亿美元），突显了审计代码之外的安全缺口。
• 智能合约攻击：按事件数量计算，这是最常见的攻击向量，共涉及71起事件，损失总额为2.28亿美元。
• 资金追回情况：约有33%的毛损失（约3.87亿美元）随后被归还或撤销，而384万美元（32%）仍未解决。
• 事件规模分布：大多数事件规模较小：107起事件中有98起的损失低于1000万美元，中位损失为67万美元。

为何2026年第三季度对加密安全而言异常严峻

Hacken将2026年第三季度视为相比此前季度的损害程度发生了“阶梯式变化”，称其为自2025年第一季度以来加密货币黑客攻击最严重的时期。在2025年第一季度，Bybit因朝鲜关联的黑客攻击遭受了14亿美元的损失，推动总损失达到16亿美元——这是Hacken用来 contextualize 2026年第三季度严重程度的参考基准。

即使在2026年第三季度内部，伤害的分布也不均匀。Hacken报告称，约80%的损失集中在四起最大的事件中。而在另一端，107起记录在案的事件中有98起的损失低于1000万美元，中位事件损失为67万美元。这种“少数特大事件加上大量小事件”的组合，有助于解释为何聚合数据可能掩盖了许多团队日常面临的风险规模。

供应链与外部工具的作用

Hacken季度概述中最具影响力的发现之一，是失败往往发生在何处。根据报告，77%的损失源于通常不在传统内部安全审查范围内的问题：受感染的第三方供应商、开发者工具的弱点、已公开披露但未实施的修复程序，以及其他外部组件。

这一区别对投资者和协议运营商至关重要，因为它将焦点从纯粹的“智能合约代码正确性”转移到了现代系统所依赖的更广泛的生态系统上。如果最大的损失可能源于签名系统、托管环境、上游依赖关系或其他特权外部基础设施，那么仅涵盖存储库代码的安全计划仍可能存在关键漏洞。

与此主题一致，Hacken敦促行业加强围绕第三方供应商和开发者工具的安全实践。该公司还建议协议团队扩大其安全审计范围，以包括预言机（Oracles）、桥接器、托管系统、签名机构和其他特权组件。

智能合约是频繁目标，但并非唯一问题

虽然供应链和基础设施问题导致了大部分被盗价值，但智能合约事件是最常见的攻击向量。Hacken估计，智能合约相关的泄露事件在2026年第三季度造成了2.28亿美元的损失，涉及71起事件，使其成为按事件数量计算的主导类别。

这种“最常利用”与“最大损失”之间的拆分很重要。它表明许多攻击者能够在合同逻辑或常见模式中找到可重复的弱点，但最大的美元总额可能出现在更大的系统性故障——如受感染的外部组件——允许攻击者大规模提取价值时。

在最大的几起事件中，有几起与早期报道中广泛关注的利用漏洞和漏洞有关。这些包括Bitget黑客攻击、Liquid Network利用漏洞攻击、Tectonic利用漏洞攻击以及Coldcard固件漏洞。

多少资金回来了——这意味着什么

任何黑客攻击后对用户来说一个主要的实际问题是多少价值可以收回。Hacken报告称，在2026年第三季度损失的11.8亿美元中，约有3.87亿美元被归还或撤销，约占毛损失的33%。

最大的追回途径之一是Liquid Network黑客攻击之后，自称“白帽”的攻击者归还了2.72亿美元，约占被盗价值的85%。

对于Tectonic事件，Hacken指出，Cronos验证者回滚了114分钟的已结算区块链历史，撤销了受影响借贷金额1.204亿美元中的约1.112亿美元。此外，Circle和Tether冻结了与Bitget盗窃案相关的约34万美元。

Hacken还发现，运营商用自己的资金覆盖了用户额外的4.1亿美元损失。报告归功于Bitget的用户保护基金覆盖了3.87亿美元，而其他实体——Triple-A、Coinsbuy和TAC——偿还了约2200万美元。即使有这些干预措施，Hacken表示仍有部分价值留在攻击者手中：3.84亿美元，即毛损失的32%，既未归还也未覆盖。

综合来看，这些数字意味着加密黑客攻击中的恢复结果可能非常不均匀。它们也突出了为什么“恢复”机制——无论是通过自愿归还、协议级撤销、冻结还是类似保险的保障基金——可以实质性地影响用户经历的净损害。

展望未来

未来最重要的不确定性在于，行业能否防止导致第三季度大部分损失的第三方和特权组件故障。投资者和构建者应关注更广泛的审计覆盖范围和更强的供应链控制措施，以及持续审查“已公开披露”的漏洞在大事件发生前未被修补的频率。