加密市场Q3黑客损失达11.8亿美元，三成已追回
nashnova research
2026年三季度加密货币黑客攻击录得107起事件、11.8亿美元损失，是2025年一季度Bybit事件以来最惨重的一季；约三成资金已追回或逆转，但仍有3.84亿美元既未找回、也无人兜底。
11.8亿美元损了在哪？
四起最大事件吃掉全季约80%损失：Bitget被盗3.87亿、Liquid Network被利用3.2亿、Tectonic损失1.2亿、Coldcard固件漏洞关联约1.15亿。
剩下98起事件单笔均低于1000万美元，全部事件损失中位数仅67万美元。
这意味着→ 加密安全风险高度集中：少数大型事件决定了整个季度的损失量级，绝大多数攻击的单笔金额其实不大。
漏洞出在合约还是供应链？
按频次看，智能合约漏洞仍排第一：107起中有71起涉及合约缺陷，合计损失2.28亿美元。
按金额看，供应链与基础设施漏洞才是大头：约77%的损失（约9.06亿美元）来自供应商被攻破、开发工具遭入侵、已公开但未部署的补丁等外部组件。
用大白话说＝ 合约漏洞像"小偷频繁光顾"，供应链漏洞像"银行金库大门没锁"——前者发生得多，后者一次损失就特别大。
三成资金是怎么追回来的？
11.8亿总损失中，约3.87亿美元已被追回或链上逆转，回收率约33%。
Liquid Network事件中，自称"白帽黑客"的攻击者归还了约2.72亿美元，占该事件被盗金额的85%。
Tectonic事件中，Cronos验证节点回滚了114分钟的已结算区块链历史，逆转了约1.112亿美元损失；Circle和Tether则冻结了与Bitget盗窃相关的约34万美元。
用户的钱谁来兜底？
运营方自掏腰包覆盖了约4.1亿美元用户损失：Bitget用户保护基金承担3.87亿，Triple-A、Coinsbuy和TAC合计偿还约2200万美元。
这意味着→ 这些用户虽然获得了全额补偿，但被盗资产仍在攻击者手中——运营方用的是自有储备金，不是追回的赃款。
综合计算，约3.84亿美元（占总损失32%）既未被追回，也未获运营方补偿，处于彻底损失状态。
行业下一步该补什么？
Hacken建议行业加强对第三方供应商、开发工具及外部基础设施的安全管控——这正是本季度损失最集中的环节。
报告呼吁协议将安全审计范围扩展至预言机（为智能合约提供链外数据的中间层）、跨链桥（不同区块链之间转移资产的通道）、托管系统、签名授权等特权组件。
这反映出一个趋势：安全审计的边界正在从"合约代码本身"向"合约依赖的一切外部组件"扩展，供应链安全能否成为审计标配，将决定行业整体风险敞口能否收窄。
市场有风险，内容仅供研究参考，不构成投资建议。