2026年7月 DeFi 三大安全事件

AFX Trade：約 $2,415 萬

2026年7月22日，基於 Arbitrum 的永續合約協議 AFX Trade 遭遇安全漏洞，損失約 $2,415 萬。

此次事件源於一次軟體供應鏈攻擊，而非跨鏈橋合約簽名驗證邏輯中的漏洞。根據 AFX 的事後報告，攻擊始於7月9日，一名開發人員在 Telegram 上受到誘騙，下載了含有惡意程式碼的專案。這使攻擊者得以入侵開發環境，獲取內部系統的存取權限，並最終取得跨鏈橋驗證節點基礎設施的簽名授權。

攻擊交易追蹤顯示，攻擊者提交的五個驗證節點簽名均通過了合約的檢查。當時活躍驗證節點集的總投票權為 10,000，而這五個簽名所代表的投票權為 7,142，超過了所需的三分之二門檻。因此，合約依照其規則處理了惡意提款。然而，僅憑鏈上證據無法確定已授權的驗證節點金鑰是被盜取還是通過其他方式遭到濫用。被盜的 USDC 隨後被轉移至以太坊，並兌換為約 12,467 ETH。AFX 表示，此次事件僅限於其自有託管橋，沒有證據顯示 Arbitrum 網路或原生 Arbitrum 橋受到影響。

Ostium：約 $2,375 萬

2026年7月15日，基於 Arbitrum 的永續合約協議 Ostium 遭遇預言機相關攻擊，其 OLP 流動性資金庫被抽乾約 $2,375 萬。

Ostium 允許用戶在不持有底層資產的情況下，交易追蹤股票、外匯、加密資產及其他市場的永續合約。交易損益通過以 USDC 資助的 OLP 資金庫進行結算。若結算價格受到控制，資金庫便可被迫支付在真實市場中從未發生的利潤。

此次事件源於鏈下價格基礎設施遭到入侵。 攻擊者利用受信任的預言機簽名授權及已註冊的 PriceUpKeep 轉發器，提交了帶有攻擊者控制時間戳的正確簽名價格報告。鏈上驗證器對簽名者完成了身份驗證，但無法確認所報告的價格是否真實。在最大的 executeBatch() 交易中，攻擊者反覆開倉和平倉 BTC/USD 部位。鏈上事件顯示，開倉使用的輸入價格約為 $5,000，平倉價格則約為 $60,000。攻擊者從約 1,000 USDC 起步，在連續循環中逐步增大部位規模，並在一筆原子交易中從 OLP 資金庫提取了約 1,186 萬 USDC。所有八筆出款交易均流向同一地址，合計約 $2,375 萬，隨後交易合約被凍結。

BonkDAO：約 $2,000 萬

2026年7月6日，Solana 上的 BonkDAO 遭遇治理攻擊，損失約 $2,000 萬。

BonkDAO 通過 Solana Realms 管理其社群國庫。BONK 持有者根據其代幣餘額獲得投票權，達到法定人數的提案可通過治理程式執行國庫指令。攻擊者利用的正是這一流程，而非程式碼漏洞。

根本原因在於：投票權可以遠低於國庫價值的成本集中取得，而大額轉帳又沒有執行延遲。 6月30日，攻擊者提交了 BIP #76，其中包含一條將 4,426,104,450,305 BONK 轉入其地址的鏈上指令，隨後花費約 $440 萬收購 BONK。六天的投票期結束時，該提案獲得了 8,823.8 億票，略高於 8,799.5 億的門檻。僅有七個地址參與投票，而攻擊者控制了約 99.9% 的支持票。

由於沒有時間鎖，提案立即執行，將約 $2,000 萬的 BONK 轉移至攻擊者帳戶。約九小時後，約 $188,000 到達一家中心化交易所，而剩餘的 $1,900 萬則被轉移至由攻擊者關聯地址控制的多重簽名帳戶。

這些事件表明，DeFi 協議的安全邊界遠遠超出其智能合約程式碼的範疇。在 AFX Trade 和 Ostium 事件中，鏈上驗證均按照其配置規則正常運行，但遭到入侵的開發系統、驗證節點基礎設施或預言機授權，使惡意操作得以偽裝成合法請求。BonkDAO 的案例同樣表明，即使治理程式碼運作完全正確，當投票門檻在經濟上存在弱點且缺乏執行延遲時，國庫仍可能遭受威脅。因此，協議團隊和安全審查人員應對鏈下基礎設施採用與智能合約同等嚴格的評估標準，同時持續評估任何單一授權或基礎設施組件遭到入侵後可能造成的最大損失。

以上資訊基於 2026年7月30日 UTC 00:00 前可取得的數據。