9月主要安全事件48起：被盜資金超7.6億美元

據Beosin Alert平台監測數據統計，2026年9月，各類安全事件損失金額總計約7.6億美元，發生重大安全事件共『48』起。其中，Bitget安全事件損失約3.875億美元，Liquid Network損失約3.2億美元（隨後歸還資金約2.85億美元），其餘46起事件的總損失金額約5295萬美元。

9月損失Top10

9月24日，Bitget平台熱錢包遭駭客非法入侵，此次攻擊橫跨多條主流區塊鏈網路，總損失超過3.875億美元，是9月損失最多的安全事件。9月6日，Bitcoin側鏈 Liquid Network 因底層軟體 Elements 中的驗證緩存漏洞，被惡意鑄造了約4,000枚BTC（價值約3.2億美元），9月8日，攻擊者返還了 3400 枚BTC，剩餘的 598.5 枚BTC仍處於是否為「漏洞賞金」的爭議中。9月22日，Neutron 遭遇治理攻擊並導致 Astroport 等DeFi協議流動性被盜取約173 萬枚ATOM，共計損失940萬美元，排名第三。

此外，Top 10損失中有3起釣魚/投毒事件：針對地址0x40e93的釣魚攻擊、FomoPeek的App投毒、iToken錢包的惡意後門。用戶安全始終是Web3生態中最薄弱的環節之一。

被攻擊項目類型及各鏈損失情況

本月被攻擊對象涵蓋交易所、公鏈、借貸協議、錢包應用、代幣合約、跨鏈橋、普通用戶等多種類型，其中交易所損失金額最多，高達3.875億美元；公鏈總損失約為3.34億美元；針對個人用戶/地址的攻擊造成損失約為1557萬美元，相比上月下降約45.2%。DeFi類的合約被攻擊的次數最多，統計為13次；代幣類合約被攻擊次數排第二，共10次。

9月損失金額最多的鏈為Liquid Network。Ripple因Bitget事件損失約1.57億美元，排在第二，Ethereum損失金額約為1.46億美元，共計14起安全事件，目前多數DeFi協議和針對巨鯨的釣魚攻擊依然以Ethereum為主。發生安全次數第二多的鏈為BNB Chain，但攻擊目標依然主要為代幣合約，損失金額較小。

此外，Neutron、Injective等Cosmos生態公鏈在9月也受到攻擊，鏈上攻擊呈現多鏈態勢。

主要安全事件分析

有關Bitget與Liquid Network兩起重大安全事件的分析，歡迎閱讀Beosin此前發布的文章。以下為本月其它攻擊手法的分析：

1. Neutron：治理攻擊

Neutron 治理攻擊是一起典型的治理機制操縱事件。

攻擊者通過精準利用治理規則中的時間差和質押快照機制，以極低成本接管了合約管理權。其攻擊路徑如下：

(1) 攻擊者準備了標題為「AIATO: AI Agent Takeover. Phase 1: Agent Admin Registration」的提案，表面描述的是「自主 AI 代理接管測試網營運控制權」的實驗。提案摘要引用了關於 AI 代理去中心化治理的學術論文，旨在迷惑治理方：

(2) 提案實際包含 11 條「Update Admin」消息，功能是將 Neutron 鏈上多個合約的管理員權限逐一轉移給提案者地址。涉及合約分別屬於 Astroport（去中心化交易所）和 Drop（流動性質押協議）。

(3) 低成本購買投票權。 攻擊者用約 20199 USDC 在 Astroport 上分五筆買入 NTRN，然後將 3160 萬枚 NTRN 進行質押。這筆質押發生在投票截止前 11 分 39 秒，精準卡在 Cosmos SDK 的投票快照生效窗口內。

這個提案以 82% 贊成率通過（快速通道門檻為 67%，法定人數為 30%），攻擊者隨即替換合約代碼並抽走資金。據統計，Astroport 損失約 490 萬美元，Drop 損失約 450 萬美元。

此次攻擊也是一起非常典型的鏈上協議治理攻擊。對於鏈上治理，項目方應設置以下檢查點進行預防：

- 設置絕對票數或資本下限：治理提案不能僅依賴相對比例通過。必須設置一個基於絕對數量的硬性門檻，例如要求贊成票必須達到一定的金額（如 100 萬美元） 或獨立地址數量。

- 為時間鎖配備監護人或取消路徑：雖然治理執行通常有延遲，但這只是保留了一定的反應時間。項目方必須為執行延遲期配備有效的監護機制（Guardian） 或提案取消路徑。一旦在延遲期內發現惡意提案，監護者可以立即介入並取消。

- 監控治理參與度：協議應建立對各個金庫治理參與度的實時監控。當發現某個金庫的治理代幣總供應量或投票參與率異常低下時，及時發出警報，甚至自動觸發保護措施。

2. Injective：期權結算漏洞

Injective 攻擊事件是一起針對其原生協議模塊的二元期權結算漏洞攻擊。

攻擊者利用一個失效預言機觸發了協議層的「無價格退款」邏輯，以極低成本套取約 490 萬美元。其具體攻擊路徑如下：

(1) 攻擊者創建了一個名為 Frontrunner 的預言機，其數據源被設置為空，永遠不會返回價格。同時創建了 299 個二元期權市場，全部指向這個預言機。

(2) 由於預言機無法提供價格，市場無法正常結算，系統被迫進入「無價格退款」（NO_PRICE_FOR_REFUND）路徑。該路徑的設計邏輯是退還雙倍保證金，而非僅退本金。

(3) 攻擊者通過多個子帳戶在市場上同時買入和賣出，自己充當對手方。由於沒有任何真實交易對手，資金只是在攻擊者自己的帳戶間流轉，但退款機制會額外「憑空」產生利潤。在一段約 30 分鐘的窗口內，攻擊者存入約 105,199 USDC，卻可以提取了204,699 USDC。

隨後攻擊者將 USDC 兌換為 ETH，通過 CCTP 跨鏈橋轉移至以太坊。

3. ASI Alliance：私鑰泄露

9月20-21日，ASI Alliance生態（Fetch.ai、NuNet及SingularityNET）相繼受到同一攻擊者的攻擊。攻擊者首先利用泄露的私鑰和合約設計缺陷從Fetch.ai的TokenConversionManagerV3合約中提取了870萬枚FET，隨後利用NuNet的鑄幣權限增發了4.085億枚NTX代幣，最後通過SingularityNET跨鏈橋在以太坊上鑄造了約8.96億枚AGIX、5.005億枚WMTx以及4.924億枚CGV。

據ASI Alliance官方披露，攻擊者利用泄露的私鑰獲得多個項目的鑄幣權實現了大量鑄幣。檢查鏈上攻擊流程，Beosin發現除私鑰泄露外，其合約的關鍵函數還存在設計缺陷：

該函數僅依賴單一外部帳戶（EOA）的簽名作為授權憑證。該函數既未實現conversionOut()中存在的checkLimits(amount)限額控制機制，也未要求驗證目標資產是否在另一網路完成了鎖定或銷毀。因此只要簽名密鑰泄露，合約內的全部資產便毫無緩衝地暴露在風險之下。攻擊者正是利用這一缺陷，使用泄露的授權簽名調用conversionIn()，一筆交易清空了該合約中的8,721,530枚FET代幣。

Web3安全威脅趨勢

2026年Web3安全呈現的最深層趨勢是攻擊面的系統性擴大。攻擊正同時在代碼層面、日常營運、交互操作中出現，AI能力的提升讓漏洞挖掘更加迅速，單單依靠數次安全審計或工具無法覆蓋營運安全、鏈上治理、商業運行邏輯漏洞等方面。這對交易所、公鏈、Web3項目方構建安全防禦體系提出了新的挑戰。

此外，針對DeFi合約和個人用戶的攻擊頻發。合約漏洞或是授權極易被攻擊者利用，合約開發者或營運者應複查合約的安全性，對於處理核心業務的合約，應進行多次、多方安全審計。對於個人用戶來說，應定期使用區塊鏈瀏覽器或撤銷授權工具檢查並取消不再使用的合約授權，並多了解常見的、新增的釣魚手法，關注最新的安全告警與動態，提高安全意識。

本文由 Beosin 安全團隊結合 Beosin Alert 安全告警系統、鏈上數據、項目方公開的事後分析編寫，如有任何問題歡迎與我們交流反饋。

來源：金色財經

發佈者對本文章的內容承擔全部責任
在投資加密貨幣前，請務必深入研究，理解相關風險，並謹慎評估自己的風險承受能力。不要因為短期高回報的誘惑而忽視潛在的重大損失。