36.3億美元遭竊 稽核過關也擋不住駭客攻擊

2025年1月至2026年7月，加密貨幣平台共有36.3億美元（約新台幣1128億元）遭竊。這段期間資安稽核愈來愈普及，保險保障規模卻不增反減，「供應鏈攻擊」、「智能合約漏洞」與「私鑰外洩」成為釀成重大損失的三大主因。

CoinGecko在《2026年加密貨幣資安現況報告》中分析同期245起資安事件後指出，前十大攻擊事件合計占整體損失逾72.5%，顯示損失高度集中在少數幾起大型入侵案件。

受害最深的是基礎設施與供應鏈漏洞，這類損失合計超過18億美元，報告點名Bybit與KelpDAO是代表案例。

不同平台架構暴露的弱點也不同：中心化交易所較常因私鑰外洩失竊，去中心化應用（DApp）則多因智能合約漏洞受害。

去中心化應用因智能合約遭攻擊而流失的資金達5.46億美元。報告同時指出，甲骨文（oracle）遭操縱、市場操縱與內部機制錯誤，同時衝擊中心化與去中心化平台，並以Bitget、幣安（Binance）與Hyperliquid作為相關案例。

所謂oracle，是把鏈外價格或資料傳入區塊鏈的裝置；智能合約則是在區塊鏈上一旦條件成立便自動執行的程式，程式碼錯誤或外部資料遭竄改，都可能直接導致資金被轉走。

做過資安稽核的專案同樣未能倖免。245起事件中有147起，發生在遭入侵前已完成獨立資安稽核的協議上，這些已完成稽核的對象所占損失比例高達88.44%。

這顯示通過稽核並不等於風險已排除。多起針對已完成稽核系統的攻擊，其實是透過外部基礎設施、未經稽核的程式碼更新，或利用治理機制遭操縱等途徑得逞。

落在稽核範圍內的智能合約漏洞約占11.0%，但光是這類漏洞就造成3.96億美元損失，顯示占比低不代表損失小。

保險市場則反向萎縮。主要加密貨幣保險協議的有效保障規模，從1.632億美元降至1.302億美元，降幅達20.2%，累計理賠金額僅約3300萬美元。

報告也點出保障範圍有限的問題：鏈上保險多半只涵蓋經驗證的智能合約漏洞或基礎設施故障，因人為疏失、私鑰外洩或市場波動造成的損失，往往不在理賠範圍內。

截至2026年8月，9個鏈上保險協議中已有5個停止營運或轉型至其他領域。攻擊頻率與損失規模持續擴大之際，保險需求與承保能力卻未能同步跟上。

面對這個缺口，中心化交易所選擇以自設保護基金來因應。CoinGecko指出，中心化交易所在遭遇漏洞攻擊時，會動用保護基金保障用戶權益。

這份統計也為一般用戶選擇交易所與使用專案時提供更完整的檢核標準：除了是否通過稽核之外，私鑰管理方式、程式碼更新流程、對外部基礎設施的依賴程度，以及事故後的補償機制，都值得一併確認。

報告強調，中心化交易所與去中心化應用面臨的風險因素並不相同，資安稽核、保險與自設保護基金，都是降低資安事故後損失的機制，但沒有任何一項能單獨消除風險。