NextFin News - 加密货币历史上最大规模的盗窃案并未破坏任何一行代码。2025 年 2 月 21 日，攻击者从 Bybit 盗走约 15 亿美元以太币——超过历史排行榜上排名第二的盗窃案总额——手法是诱骗交易所在一次看似常规的钱包转账中签署恶意交易。FBI 随后将该行动归因于朝鲜。传递给行业的信号直白而尖锐：最薄弱的环节不再是智能合约，而是签署交易的人与机器。
悖论：黑客攻击创纪录，损失却下降
加密货币盗窃正陷入一个定义当下时代的矛盾。2026 年上半年，攻击者实施了 207 起黑客攻击——创下任何六个月周期的历史纪录，是 2025 年同期记录 83 起事件的两倍多。然而总损失降至 9.72 亿美元，不到 2025 年上半年被盗 23 亿美元的一半。如今典型黑客攻击的收益约为 21.9 万美元。
分布结构才是关键。2026 年 4 月两起与朝鲜有关的行动——针对 Drift Protocol（损失约 2.85 亿美元）和 KelpDAO（损失约 2.92 亿美元）——合计约 5.77 亿美元，占上半年被盗总价值的 66%。基础设施与运营受损事件仅占事件总数的约 15%，却占损失总额的约 76%。相比之下，100 多起较小的智能合约漏洞利用事件仅造成了少量资金损失。用区块链情报公司 TRM Labs 的话说：
“截至 2026 年 4 月，朝鲜黑客组织占所有加密货币黑客损失总额的 76%——这并不是因为朝鲜发动了一波攻击潮，而是因为两起总计 5.77 亿美元的攻击让其他所有案件相形见绌。”
历史排行榜宛如行业成长阵痛的点名册，价值按事件发生当日价格计算：
- Bybit，中心化交易所，2025 年 2 月 21 日——约 15 亿美元
- Ronin Network，Axie Infinity 桥，2022 年 3 月 23 日——约 6.15 亿美元
- Poly Network，跨链协议，2021 年 8 月 10 日——约 6.12 亿美元
- Coincheck，交易所热钱包，2018 年 1 月——约 5.34 亿美元
- Mt. Gox，交易所倒闭，2014 年——约 4.73 亿美元
- KelpDAO，桥，2026 年 4 月 18 日——约 2.92 亿美元
- Drift Protocol，Solana DeFi，2026 年 4 月 1 日——约 2.85 亿美元
- WazirX，印度交易所，2024 年 7 月 18 日——约 2.35 亿美元
朝鲜是主要幕后黑手。2025 年，与朝鲜有关的黑客窃取了 20.2 亿美元——同比增长 51%——累计总额升至约 67.5 亿美元。仅 2026 年上半年，他们就窃得约 6.43 亿美元，占所有被盗价值的 66%，低于 2025 年上半年的约 17 亿美元，但仍远超其他任何攻击者。往年的模式仍在延续：2023 年 20 起事件涉案 6.605 亿美元，2024 年 47 起事件涉案 13.4 亿美元，被盗价值增长 102.88%。
攻击面转向链下
根本性的转变在于突破发生的位置。Bybit 被盗案被区块链情报分析称为“加密货币史上最大数字盗窃案”，但并未利用以太坊或 Bybit 自身代码的漏洞。调查人员发现，攻击者入侵了一台与第三方服务相关的机器——该服务用于将以太币从冷钱包转移至热钱包——并将恶意 JavaScript 注入交易签名工作流。当 Bybit 首席执行官签署看似常规的 401,000 ETH 转账时，签名负载已被调换，资金被重定向至攻击者控制的地址。
这一区别至关重要。智能合约漏洞可以审计、修补，并最终计入风险模型定价。而运营栈内部被颠覆的签名工作流，审计公司无法修复。2024 年 7 月的 WazirX 泄露事件遵循了同样的模式：与第三方托管商 Liminal 共同管理的多重签名钱包被盗走约 2.35 亿美元，原因是验证界面上显示的负载与实际签名内容不符。2026 年 4 月的 Drift Protocol 攻击同样不是代码漏洞利用。这是一场长达六个月的情报行动，通过社会工程学攻陷协议签名者，随后在约 12 分钟内完成了全部 2.85 亿美元的资金转移。
KelpDAO 事件补全了这一图景。攻击者利用 LayerZero 桥的单验证器设计缺陷，攻陷数据验证节点并对其他节点发起 DDoS 攻击，迫使故障转移至被投毒的基础设施。结果：约 116,500 rsETH（约 2.92 亿美元）在一条恶意指令中消失。
这就是为何业界长期坚信冷钱包和多重签名设置是“最佳加密钱包”的观念受到冲击。正如战略与国际研究中心分析师在 Bybit 被盗案后指出的那样，此次攻击震动了那些将离线存储和多重签名视为几乎万无一失的加密行业成员。Bybit 也曾使用第三方签名解决方案——而这一依赖成为了入口点。
为何损失集中而非分散
这种集中是结构性的，而非偶然。朝鲜黑客组织——被美国当局追踪为 TraderTraitor 和拉撒路集团——已将加密资产盗窃转化为财政政策。2025 年 1 月，美国、日本和韩国发布的三方归因声明将 WazirX 盗窃案与朝鲜联系起来，并指出平壤通过一系列行动为其受制裁的武器计划提供资金，包括盗窃 DMM Bitcoin、Upbit 和 Rain Management。当盗窃成为国家收入来源而非机会主义犯罪时，攻击者便拥有耐心、资金和持续行动的授权。
经济逻辑解释了这种偏差。Chainalysis 发现，2025 年前三大黑客攻击案占所有损失的 69%，其中仅 Bybit 一案就占全年被盗 34 亿美元中的 15 亿美元。异常值如今已达中位数盗窃案的 1,000 倍。一次针对大型目标的持久行动，胜过一整年较小规模的机会主义攻击。
还存在选择效应。智能合约漏洞利用数量众多——2026 年上半年 207 起事件中有 125 起——因为攻击面不断扩大：每周都有数千个 DeFi 协议、代币和智能合约部署新代码。但资金存在于基础设施中：桥接、托管方、签名设置和中心化交易所。攻击管道胜过攻击数据包。
行动手法也在演变。朝鲜黑客组织越来越多地将自己的 IT 人员渗透进加密服务机构，或使用复杂的冒充策略针对高管，以更少的事件实现更大的盗窃。攻击更少，收益更大：这是专业化、国家主导项目的标志，而非松散犯罪网络的特征。
二阶效应：风险传染沿 DeFi 基础设施蔓延
一阶损失是被盗本金。二阶损害是盗窃对系统其余部分造成的影响——而这正是市场定价不足的渠道。KelpDAO 事件表明，单次入侵如何导致远超受害者范围的借贷市场冻结。在初始 2.92 亿美元资金流失后，攻击者将被盗资金作为抵押品存入 Aave v3 并借入包装以太币，产生约 1.95 亿美元债务。借贷池利用率迅速飙升至上限，一度阻断超过 51 亿美元稳定币提现，Aave 的总锁仓价值下降近 80 亿美元。
这就是传导机制：桥接漏洞利用成为无关借贷协议中的流动性冲击，因为被盗资产在被标记之前仍可用作抵押品。防御措施——将地址列入黑名单、暂停合约——是被动且不完美的。KelpDAO 确实冻结了另一次试图盗取 40,000 rsETH（约 9500 万美元）的行动，但仅在第一条指令执行完毕之后。
Bybit 被盗事件同样引发了市场震荡。漏洞发生后的几天内，以太坊急剧下跌，短暂跌破 2,700 美元，市值缩水至约 2,830 亿美元——短暂低于该网络的已实现市值，这种情况通常与市场普遍低迷相关。FBI 发出的警报警告称，TraderTraitor 攻击者“正在快速推进”，被盗资产“将被进一步清洗并最终转换为法币”。Bybit 首席执行官周受资（Ben Zhou）表示，截至 2025 年 3 月 20 日，攻击者已将 86.29% 的被盗 ETH 转换为比特币，并开始使用混币器掩盖踪迹。
资金追回已有改善——但追回不等于安全
行业的响应能力确实取得了进步。Bybit 被盗事件发生 72 小时内，该交易所通过 Galaxy Digital、FalconX 和 Wintermute 的紧急融资筹集了近 447,000 枚以太币，使储备金恢复到 100% 以上的抵押率，并经储备金证明审计验证。Chainalysis 表示协助冻结了超过 4,000 万美元被盗资金，Bybit 则对任何追回金额提供高达 10% 的赏金。
但重新注资不等于追回。被盗资产并未归还；用户是通过公司资产负债表及其支持者的资金得到全额赔付的。与此同时，窃贼并未停手。Ronin 案例是唯一的部分反例。2022 年 3 月发生 6.15 亿美元 ETH 和 USDC 被盗事件后，美国当局查获了约 3,000 万美元，并制裁了接收地址。该桥接协议虽重新注资，但绝大多数资金从未被追回。“我们正在与执法官员、取证密码学家和投资者合作，确保所有资金被追回或得到赔偿，”Ronin 当时表示——而最终发生的是赔偿，而非追回。
Poly Network 是个例外：2021 年 8 月被盗的 6.12 亿美元中，约 5.786 亿美元在几天内被攻击者归还——这是罕见的良知之举，而非可复制的防御手段。而最初的警示案例 Mt. Gox 花了十多年才开始向债权人偿还 2014 年丢失的约 650,000 枚客户比特币和 100,000 枚自有比特币，那次崩盘当时约占流通中所有比特币的 7%。
反向论点：行业实际上正变得更安全
反对恐慌的最有力论据正是数据本身。2026 年上半年损失同比下滑超过一半，从 23 亿美元降至 9.72 亿美元，尽管事件数量翻了一番。交易所重新注资的速度更快。执法合作确有其事：FBI 现在公布钱包地址，并要求节点运营商、交易所和 DeFi 服务拦截涉及污染地址或源自污染地址的交易。储备金证明审计曾经罕见，如今在重大漏洞发生后正成为标配。若以系统生存能力衡量，2026 年看起来比 2025 年更好。
但生存能力不等于安全性。损失下降反映的是未再发生 Bybit 级事件，而非底层威胁减弱。朝鲜所占被盗价值份额——2026 年上半年为 66%——表明集中度风险并未缓解，只是转移到了更少、更大的操作方身上。而造成近期三起最大损失——Bybit、Drift、WazirX——的攻击向量并非可通过补丁修复的代码。它是对签名基础设施、第三方托管机构和桥接验证器的信任。这更难通过审计消除，因为再多的代码审查也无法防范显示内容与签名内容不一致的签名界面。
后续展望
前景因时间维度而异。短期来看，随着 DeFi 攻击面扩大，事件频率将持续上升；典型的 21.9 万美元漏洞利用是大多数协议都能承受的经营成本。中期来看，集中度将持续：少数国家支持的操作方将继续追逐八位数和九位数目标，最大损失将继续来自基础设施受损而非代码漏洞。长期来看，结构性问题在于签名和验证能否转向不依赖人工读屏的硬件强制多方工作流程——因为只要个人或单机仍可能被诱骗批准交易，盗窃剧本就将持续奏效。
基准情形：损失仍不均衡，年度总额取决于一两个大型基础设施目标是否失守。乐观情形：硬件支持签名和强制验证节点冗余推动基础设施受损损失连续两个季度低于总价值的 30%。悲观情形：对顶级桥接或托管机构的成功攻击超过 Bybit 纪录，且借贷市场的传染证明比 Aave 的险情更深。
关注要点：每季度归因于朝鲜的被盗价值份额；基础设施受损损失与智能合约漏洞利用损失之比；以及是否有主要平台采用硬件强制多方交易签名。集中度论点的证伪信号很明确：如果朝鲜被盗价值份额连续两个季度回落至其事件份额——约 15% 至 20%——同时基础设施损失保持在总价值的 30% 以下，则“国家支持集中度”的解读是错误的。
加密盗窃已不再是编码竞赛，而是情报竞赛。审计保护代码，不保护签名。在行业将签名工作流程视为资产之前，下一次破纪录盗窃看起来将不像黑客攻击，而更像是一次移交。
更多独家洞察尽在 nextfin.ai.
