2026年4月：加密货币史上被黑客攻击最严重的月份，损失高达6.35亿美元

2026年4月已成为去中心化金融（DeFi）历史上遭受黑客攻击最严重的月份。DefiLlama 证实了 28 到 30 起独立的漏洞利用事件，总损失超过 6.25 亿美元——其他追踪机构给出的数字甚至高达 6.3524 亿美元，这是自 2025 年 2 月 Bybit 交易所违规事件以来最高的单月总额。该月平均每天发生近一起攻击，其速度远超以往任何记录时期。

两个攻击，一个月，灾难性的规模

该月的损失主要由两起重大事件驱动。4 月 1 日，Solana 上的 Drift Protocol 在一起社会工程攻击中损失了约 2.85 亿美元，据报道该攻击与朝鲜的 Lazarus Group 有关。4 月 18 日左右，KelpDAO 遭遇了针对 LayerZero 跨链桥的消息欺骗漏洞利用，估计损失接近 2.93 亿美元。这两起事件加起来占了 4 月总损失的大大部分。

Drift Protocol 的黑客攻击涉及三周的攻击前准备和数月的社会工程，旨在破坏协议签署者，并在约 12 分钟内执行了全部资金抽离。KelpDAO 的黑客攻击利用了 LayerZero 桥中的单一验证器设计缺陷，在 7500 万美元资金被 Arbitrum 冻结后，其余收益随后通过 THORChain 进行了洗钱。

整个生态系统中的小型事件

除了两个重大的漏洞利用外，其余攻击进一步印证了 DeFi 的攻击面已变得多么广泛：

• Rhea Finance 损失了 1840 万美元，Grinex 损失了 1500 万美元，Wasabi Protocol 损失约 500 万美元，Volo Vault 和 Sweat Foundation 各损失了 350 万美元。
• 大多数较小的事件损失在 5 万美元到 300-500 万美元之间，涉及借贷协议、去中心化交易所和基础设施解决方案。
• 尽管代码漏洞是大多数黑客攻击的根本原因，但它们仅占 4 月总损失的约 4200 万美元（约 6.6%）。

朝鲜的巨大影响

活跃于两个不同组织的朝鲜黑客在 2026 年至今已窃取了约 5.77 亿美元——仅通过少数几起归因事件，就占了截至 4 月所有加密货币黑客损失的 76%。Drift 和 KelpDAO 的攻击都与 TraderTraitor 集群（Lazarus Group 的一个子集）有关。这些违规行为并非由代码漏洞或侵略性的网络入侵引起，而是由于结合了社会工程与对协议进行合法访问的、为期数月的行动结果。

DeFi 市场反应

KelpDAO 的漏洞利用引发了去中心化金融领域的快速撤资，几天内就有超过 140 亿美元的总锁定价值（TVL）流出 DeFi 协议，主要集中在跨链桥和借贷平台，因为用户在降低对跨链风险的敞口。仅 Aave 就在漏洞利用后 TVL 从 264 亿美元降至近 179 亿美元。

背景与展望

作为对比，2026 年整个第一季度的损失为 1.655 亿美元——而 4 月一个月的总额就达到了第一季度总和的 3.7 倍。过去十年，DeFi 的累计黑客损失现已突破 170 亿美元，攻击者正日益从智能合约漏洞转向私钥、签名基础设施和人类层面的社会工程。安全研究人员指出，跨链桥架构和社会工程是进入 2026 年第二季度需要迫切关注的主导媒介。

由 Coinplurk.com 发布