Hacken 的 Q3 安全报告出来了，数字很难看：107 起事件，11.8 亿美元，环比涨 55%。

但真正值得看的是下一行——其中约 77%，也就是 9.06 亿美元，出在审计范围之外：被攻破的供应商、开发工具、披露了却没打的补丁，以及那些压根没进过审计的组件。

翻译成人话：你看到的审计报告，是给代码开的体检单；而你丢的钱，基本都死在体检单没覆盖的地方。

两个案例，几乎是把这件事掰开给你看。

Bitget，9 月 24 日 18:31 UTC。攻击者没偷私钥，冷钱包一动没动。他们用的是第三方安全产品里的一个 0day：先进内网管理系统，拿到高权限凭证，再往钱包后端塞伪造的提现指令。CEO 后来说，对方把操作伪装成日常管理，顺手把痕迹抹了。最后 12 个地址，3.88 亿美元。Chainalysis 把这笔账算在朝鲜相关团伙头上。

Liquid Network 更快。9 月 6 日，验证软件里一个缓存逻辑漏洞，让无效交易可以指向前一次已通过的缓存结果，跳过完整校验。攻击者在区块 4,050,336 凭空铸了 4000 枚 L-BTC，36 分钟后，federation 付出去 4000 枚 BTC，3.19 亿美元。签名密钥一个都没丢。

后续还挺黑色幽默：攻击者在 OP_RETURN 里留言「我们是白帽，链上联系」，谈完之后退回 3400 枚 BTC，留下约 600 枚、价值 4700 万美元，算给自己开了张赏金单。

份额变了，方向也变了。

智能合约漏洞造成的损失占比，从 Q2 的 12% 涨到 48%；访问控制和运营失误从 88% 降到 40%。很多人第一反应是「合约又变危险了」，我倒觉得重点在另一头：当链下那一层开始被针对，占比自然会被重新分配。攻击者不傻，合约越来越难啃，就去啃签名器、提现通道和第三方 SDK。

这也是我对「审计章」最大的意见。它本来是份技术文件，现在更像营销素材——官网底下挂一排 auditor 的 logo，社区就默认这项目「安全」。可审计的是代码，不是你的钱。代码之外还有供应商、运维、权限、补丁流程，任何一环掉链子，报告都救不了。

追回来多少？

大约 3.87 亿被退回或逆转，占 33%；运营方自己掏了 4.1 亿填坑，Bitget 的保护基金扛了 3.87 亿。剩下 3.84 亿，32%，没人管。

这个比例说明「兜底」是选择性的：交易所有品牌要护，会赔；小项目赔不起，就关站、清算、发个公告。今年我们已经看过好几次了。

所以现在看项目，我的顺序变了：先看它敢不敢讲自己的签名架构和供应商，再看补丁多久能推下去，最后才翻审计报告。审计是入场券，不是保险单。

自己这边也一样。别把币全放一个所；自托管也别只盯着「助记词抄没抄对」——你签交易的设备、装的钱包插件、连的 RPC，都是这条链的一部分。

免责声明：以上内容仅供娱乐交流，不构成任何投资建议。DYOR。

cryptocurrencies # blockchain # pickful