摘要
2026年7–8月，加密行業共記錄184起安全事件，總損失達5.35億美元。DeFi 仍是安全事件最集中的領域，佔比達38%；網絡釣魚與詐騙、端點與供應鏈安全事件則分別佔31%及17%。
本期加密行業安全風險呈現四項特點：鏈上攻擊持續高發、鏈下攻擊加速滲透、供應鏈風險擴大，以及 AI 相關威脅初步顯現。攻擊者可透過用戶和開發者日常接觸的工具與服務，取得憑證或資金操作權限。平台在加強日常防範的同時，還需及時識別與攔截流入平台的風險資金，為後續協查與資產處置爭取時間。
7–8月期間，MEXC 協助處理的215宗風險資金舉報全數成功攔截，涉及金額約3,866萬USDT；同期識別並限制20,752個風險相關帳戶，並人工處理818筆錯充資產退回申請。合約保險基金總餘額升至7.92億USDT，本期披露的 BTC、ETH、USDT 及 USDC 儲備率均維持在100%以上。
一、7–8月加密行業安全事件概覽
本期安全事件涵蓋中心化機構錢包、DeFi 協議、釣魚詐騙、端點與供應鏈等多個領域，雙月共記錄184起事件，總損失達5.35億美元。
按事件數量統計，7-8月安全事件主要分布如下：
| 7-8双月加密行業安全事件報告 | ||
| 事件類型 | 事件數量 | 事件佔比 |
| 中心化安全 | 12 | 7% |
| DeFi 安全 | 70 | 38% |
| 網絡釣魚與詐騙 | 58 | 31% |
| 端點與供應鏈安全 | 31 | 17% |
| 其他威脅 | 13 | 7% |
2026年7-8月安全事件损失金额
| 2026年7-8月安全事件損失金額 | |
| 事件類型 | 損失金額（萬美元） |
| 中心化安全 | 17,300 |
| DeFi 安全 | 29,700 |
| 網絡釣魚與詐騙 | 3,300 |
| 端點與供應鏈安全 | 379 |
| 其他威脅 | 2,805 |
DeFi 在事件數量與損失金額上均居首位。中心化安全事件數量雖然最少，損失卻達1.73億美元，位居第二，顯示錢包與資金權限一旦失守，單起事件仍可能造成高額資產損失。網絡釣魚與詐騙的佔比由上期17%升至31%，端點與供應鏈安全事件則由13%升至17%。兩類事件合計佔比約48%，接近本期事件總數的一半。
二、主要威脅類型與代表性案例
- 中心化安全
- Zilliqa Ledger 應用曝嚴重漏洞，其一家合作交易所的冷錢包中 ZIL 被盜。
- 新加坡穩定幣支付公司 Triple-A 的熱錢包在多條公鏈上遭遇未授權存取，損失約1180萬美元。
- Coinsbuy（B2B 加密支付處理平台）關聯的 Ethereum 和 TRON 熱錢包被盜，損失超790萬美元。
- Coldcard 硬體錢包（Coinkite）因韌體漏洞導致私鑰可被離線暴力猜測，多波攻擊累計損失超1億美元。
- DeFi 安全
- BonkDAO 遭惡意治理提案攻擊，約2000萬美元的 BONK 被盜。
- AFX Trade 營運的 Arbitrum 跨鏈橋遭攻擊，黑客利用遭攻破的驗證者熱密鑰滿足多重簽名條件，提取約2415萬美元的 USDC。
- 借贷协议Tectonic遭遇价格操纵攻击，攻击者单笔套取约1.204亿美元资产，Cronos链停块回滚，但有919万美元提前跨至以太坊无法追回。
- 網絡釣魚與詐騙
- BitMart 中文官方帳號於8月17日被盜，詐騙者利用其帳號發布釣魚推文。
- Robinhood 創始人的助記詞在直播中洩露，黑客藉機炒作 Meme 幣 $1。該代幣市值從約50萬美元迅速推高至1400萬美元，黑客最終拋售套現。
- 新加坡警方披露一起加密貨幣詐騙案，攻擊者透過虛假招聘和惡意軟體盜取某公司1180萬美元資產。
- 端點與供應鏈安全
- 30個惡意 npm 套件偽裝成交易機器人程式碼倉庫，定向竊取開發者密鑰與助記詞。
- MetaMask 曝朝鮮黑客 Tyler Knapp 以外包身份潛入，參與法幣出入金開發。
- 硬體錢包 Trezor 的客戶資料因物流商洩露，超1.3萬名客戶的敏感資訊被竊取。
- Firefox 出現40款惡意加密錢包擴充程式，偽裝成 Rabby 錢包等竊取助記詞。
- 其他威脅
- Boltz 因 AI 輔助攻擊無限期暫停兌換服務，創始人退出，資深比特幣用戶將注資接管。
- 安全機構 Genians 發現，與朝鮮相關的黑客組織 Kimsuky 正在構建 AI 工具，可用於自動化網絡釣魚、分析竊取資料和增強惡意軟體開發。
- Ravencoin 因共識漏洞遭攻擊，導致幣價大跌，當時部分交易面臨鏈重組風險。
三、7–8月行業安全趨勢總結
3.1 高額損失仍集中於協議與錢包
本期 DeFi 與中心化安全事件分別造成約2.97億美元及1.73億美元損失。治理提案、跨鏈驗證與錢包密鑰等環節，直接影響資金能否被調用和轉移。平台與項目方需重點核查資金操作權限是否過度集中、密鑰是否妥善隔離，並配合異常交易監測、操作限額及緊急暫停措施，控制單一環節失守後的損失範圍。
3.2 釣魚詐騙佔比上升，攻擊融入日常業務場景
釣魚與詐騙事件佔比由上期17%升至31%。攻擊者可能利用熟悉的帳號或看似正常的業務流程取得信任，將釣魚連結混入社群訊息，或以招聘測試、工作任務為由，誘導用戶下載惡意程式。
即使訊息來自熟悉的帳號，用戶在下載程式、提供憑證或簽署交易前，仍應透過其他渠道確認來源與用途。涉及公司設備或內部系統的招聘測試、外部程式碼，則應先由安全人員審查，再執行相關操作。平台與項目方也應監測官方帳號及發布渠道，在發現入侵後及時限制操作並提醒用戶。
3.3 供應鏈風險涉及工具、人員與客戶資料
第三方風險同時涉及開發工具、人員權限和客戶資料。本期端點與供應鏈安全事件佔比由13%升至17%。惡意 npm 套件、仿冒錢包插件、外包開發人員及物流資料外洩等案例，顯示企業在開發、合作及客戶服務等環節均可能暴露敏感資訊。
企業應核實套件與插件的來源，檢查版本更新是否增加資料讀取或其他操作權限。外包人員和服務商僅應取得工作所需的權限，合作結束後及時撤銷。API Key、私鑰及雲端憑證則應隔離保管並限制存取，減少開發設備或第三方工具遭入侵時一併外洩的風險。
3.4 擊者嘗試藉助 AI 提高攻擊效率
攻擊者正嘗試利用 AI 自動完成部分攻擊任。黑客組織 Kimsuky 正在構建可用於自動化釣魚、分析竊取資料及輔助惡意軟體開發的 AI 工具；Boltz 則表示，由於持續遭受 AI 輔助攻擊，平台已暫停兌換服務。這些案例反映，企業需要更快地識別威脅、修補漏洞並作出響應。
企業自身使用 AI 工具、智能代理（Agent）、技能（Skill）及插件時，也應確認它們能讀取哪些檔案、調用哪些 API，以及執行哪些程式。工具取得的權限越廣，錯誤操作或惡意指令可能影響的資料與系統也越多。
未經審核的程式碼、Skill 及插件，應先在隔離的測試環境中檢查，不應直接接觸敏感憑證、內部程式碼或正式業務系統。工具通過審核後，也只應開放完成任務所需的權限；更新功能或擴大權限時，需重新檢查相關風險。企業還應保留操作記錄，確保出現異常時能及時停止執行並撤銷授權。
四、MEXC Trust：風險資金攔截與可驗證的資產保護
4.1 215宗風險資金舉報全數成功攔截
7–8月期間，MEXC 協助處理外部被盜、被詐騙資金流入平台的舉報共215宗，全數成功攔截，涉及資金38,655,490 USDT，約合3,866萬USDT。其中，司法凍結協助案件42宗，亦全數成功攔截。
為及時識別流入平台的風險資金，MEXC 與行業主要參與方共享可疑地址，協助追蹤被盜、被詐騙資金流向，並依協查及執法協作流程配合核查與凍結，為後續資產處置爭取時間。
4.2 識別並限制20,752個風險相關帳戶
MEXC 本期識別並限制20,752個與風險活動相關的帳戶，較上一報告期增長118.03%；涉及風險團體5,288個，增長20.35%。主要分佈於獨聯體地區（1,803個）、尼日利亞（1,099個）及印度尼西亞（976個）。透過帳戶與關聯活動識別，平台可進一步核查異常交易及資金流向，支持後續限制與協查處置。
4.3 人工處理818筆錯充資產退回申請
在用戶資產返還方面，MEXC 本期人工處理818筆錯充資產退回申請，返還金額折合602,225 USDT，較上一報告期增長75.31%。平均每筆返還金額約736 USDT，較上期約423 USDT增長約74%。相關人工核查與退回服務，持續為符合處理條件的錯充申請提供支持。
4.4 合約保險基金總餘額達7.92億USDT
截至2026年9月1日，MEXC 合約保險基金總餘額達791,696,422 USDT，增長約5.44%。
合約保險基金主要用於承擔強平後可能出現的穿倉缺口。充足的基金餘額有助於緩衝極端行情下的結算風險，降低觸發自動減倉（ADL）的可能性；若基金不足以覆蓋缺口，則仍可能啟動相關減倉機制。用戶可透過 MEXC 官網的 Proof of Trust 頁面查詢基金資訊。
4.5 四項主要資產儲備率均高於100%，BTC達287.53%
MEXC 的 BTC、ETH、USDT 及 USDC 儲備率均高於100%。各資產的錢包餘額與對應用戶資產如下：
| 資產 | 儲備率 | 錢包總資產 | 對應用戶資產 |
| BTC | 287.53% | 12,312.75 BTC | 4,282.20 BTC |
| ETH | 113.29% | 66,227.79 ETH | 58,457.33 ETH |
| USDT | 114.66% | ≈ 19.4億USDT | ≈ 16.92億USDT |
| USDC | 113.95% | ≈ 1.9485億USDC | ≈ 1.71億USDC |
相關鏈上錢包地址已公開，用戶可通過 Merkle Tree 儲備證明，核對自己的帳戶餘額是否被納入相應負債快照，查驗平台披露的儲備覆蓋情況。
4.6 Guardian Fund 維持 USDT 與 BTC 雙儲備結構
目前MEXC 設有1億美元的MEXC Guardian Fund ，採用 USDT 與 BTC 雙儲備結構。其中，USDT 部分提供即時流動性支持，BTC 部分作為長期儲備配置。未來，MEXC 計劃將基金規模擴展至 5億美元，持續強化用戶資產保護。
- USDT：0x469AfE803C54A36674C55231489Cf4b61da8c1bC
- BTC：1MDVjZdX8QD212pT8Z8EMP7DuFQHKqN3mx
五、結語
本期安全事件顯示，風險既存在於鏈上協議，也藏在用戶日常接觸的工具、帳號和業務流程中。釣魚詐騙與供應鏈事件合計佔比已接近一半，而AI 輔助攻擊的出現，進一步壓縮了企業識別與響應的時間窗口。
對平台而言，安全工作不能只守住自己的系統，還要在風險資金流入時及時攔截，在帳戶出現異常時快速識別，在攻擊面擴大時同步升級防線。這些環節，同樣決定了資產保護的實際效果。
MEXC 將繼續透過雙月安全報告與儲備證明，定期公開平台安全表現與資產儲備資訊，讓 MEXC Trust 的每一步，都可以被看見、可被驗證、可被持續追蹤。
