加密市場Q3駭客損失達11.8億美元，三成已追回
nashnova research
2026年三季度加密貨幣黑客攻擊錄得107宗事件、11.8億美元損失，是2025年一季度Bybit事件以來最慘重的一季；約三成資金已追回或逆轉，但仍有3.84億美元既未找回、也無人承擔。
11.8億美元損在哪裡？
四宗最大事件佔全季約80%損失：Bitget被盜3.87億、Liquid Network遭利用3.2億、Tectonic損失1.2億、Coldcard固件漏洞關聯約1.15億。
其餘98宗事件單筆均低於1000萬美元，全部事件損失中位數僅67萬美元。
這意味著→ 加密安全風險高度集中：少數大型事件決定了整季的損失量級，絕大多數攻擊的單筆金額其實不大。
漏洞出在合約還是供應鏈？
按頻次計，智能合約漏洞仍排首位：107宗中有71宗涉及合約缺陷，合計損失2.28億美元。
按金額計，供應鏈與基礎設施漏洞才是大頭：約77%的損失（約9.06億美元）來自供應商被攻破、開發工具遭入侵、已公開但未部署的補丁等外部組件。
簡單來說＝ 合約漏洞像「小偷頻繁光顧」，供應鏈漏洞像「金庫大門沒鎖」——前者發生得多，後者一次損失就特別大。
三成資金是怎樣追回的？
11.8億總損失中，約3.87億美元已被追回或鏈上逆轉，回收率約33%。
Liquid Network事件中，自稱「白帽黑客」的攻擊者歸還了約2.72億美元，佔該事件被盜金額的85%。
Tectonic事件中，Cronos驗證節點回滾了114分鐘的已結算區塊鏈歷史，逆轉了約1.112億美元損失；Circle和Tether則凍結了與Bitget盜竊相關的約34萬美元。
用戶的錢誰來承擔？
運營方自掏腰包覆蓋了約4.1億美元用戶損失：Bitget用戶保護基金承擔3.87億，Triple-A、Coinsbuy和TAC合計償還約2200萬美元。
這意味著→ 這些用戶雖然獲得全額補償，但被盜資產仍在攻擊者手中——運營方動用的是自有儲備，不是追回的贓款。
綜合計算，約3.84億美元（佔總損失32%）既未被追回，也未獲運營方補償，處於徹底損失狀態。
行業下一步該補甚麼？
Hacken建議行業加強對第三方供應商、開發工具及外部基礎設施的安全管控——這正是本季度損失最集中的環節。
報告呼籲協議將安全審計範圍擴展至預言機（為智能合約提供鏈外數據的中間層）、跨鏈橋（不同區塊鏈之間轉移資產的通道）、託管系統、簽名授權等特權組件。
這反映出一個趨勢：安全審計的邊界正從「合約代碼本身」向「合約依賴的一切外部組件」擴展，供應鏈安全能否成為審計標配，將決定行業整體風險敞口能否收窄。
市场有风险，内容仅供研究参考，不构成投资建议。