SlowMist 年中报告记录了 2026 年上半年（H1 2026）共发生 182 起区块链安全事件，较 2025 年上半年（H1 2025）的 121 起增长 50%，总损失约达 9.56 亿美元。总损失较 2025 年上半年（H1 2025）的 23.7 亿美元下降 60%，原因是未发生单起灾难性事件，而非攻击频率或复杂程度降低。报告将事件激增归因于向复杂供应链攻击和 AI 驱动威胁的转变，这使攻击面超越了传统智能合约漏洞。DeFi 仍是受灾最严重的领域，占比近 64%，损失约 4.9 亿美元；跨链桥的单起事件损失最高，20 起事件累计损失约 3.46 亿美元。这一趋势反映出网络威胁的产业化，同时亚洲、欧洲和美洲的虚拟资产合规（virtual asset compliance）及反洗钱（anti-money laundering）框架正进行全球监管趋同。
DeFi 和跨链桥推动 2026 年上半年损失
据 SlowMist 数据，2026 年上半年（H1 2026）DeFi 协议占所有安全事件的近 64%，损失约 4.9 亿美元。跨链桥是经济损失最大的类别，仅 20 起事件就造成约 3.46 亿美元损失。其中 4 月的 KelpDAO 漏洞利用事件占 2.92 亿美元。攻击者入侵了 LayerZero 的 RPC 基础设施，对合法验证节点发起 DDoS 攻击，并伪造跨链消息来铸造和提取资产而无需抵押。被盗代币随后被用作 Aave 等借贷平台上的虚假抵押品，扩大了 DeFi 领域的损失。SlowMist 将此次事件归因于朝鲜 Lazarus Group。
供应链与 AI 攻击使区块链威胁工业化
2026 年上半年（H1 2026），供应链投毒按事件数量排名第三，但造成的总损失最高，约 2.98 亿美元，主要来自 KelpDAO 事件。报告称，除该单起事件外，众多供应链攻击还针对包管理仓库、CI/CD 管道、CDN 分发链和 AI 代理插件市场。2026 年上半年的钓鱼活动采用了 SlowMist 所称的“平台式冒充 + 多阶段交互 + 动态载荷注入”模式。恶意浏览器扩展模仿合法钱包工具、Google Search 广告将用户引向剪贴板劫持恶意软件、伪装成审计确认的鱼叉式钓鱼邮件投递了能够建立持久远程访问的 AppleScript 载荷。在多个案例中，攻击者将钓鱼基础设施嵌入可信域名（包括 business.google.com）以绕过自动检测系统。
报告称，AI 已被部署在完整攻击生命周期中，用于生成令人信服的冒充内容、自我审查恶意代码以规避检测，并优化社会工程脚本。深度伪造语音和视频技术被用于针对高价值个人的社会工程活动，每起事件有记录的损失达数百万美元。Lazarus Group 的下属单位 HexagonalRodent 被观察到使用 ChatGPT 和 Cursor 制作虚假企业网站并虚构管理团队身份，以针对 Web3 开发者进行虚假招聘操作。
2026 年上半年全球监管机构加强虚拟资产合规
香港于 4 月发放了首批法币挂钩稳定币发行人牌照（Hong Kong）。台湾将加密监管体制从反洗钱（anti-money laundering）注册升级为全面金融许可（Taiwan）。在美国（United States），《GENIUS 法案》的实施从立法阶段进入拟议规则制定阶段，而 FinCEN 和 OFAC 共同发布了拟议规则，为持牌支付稳定币发行人建立统一合规框架；欧盟（European Union）首次对与俄罗斯境内加密资产服务提供商的交易实施了全行业禁令。
SlowMist 报告总结称，供应链攻击、AI 辅助欺诈以及 Lazarus Group 等国家背景网络犯罪组织的泛滥表明，要实现韧性，需要涵盖资金流监控、VASP 注册、身份验证和跨境执法合作的系统性治理。
常见问题
2026 年上半年（H1 2026）区块链安全事件增加 50% 的原因是什么？
SlowMist 报告将 50% 的增长归因于向复杂供应链攻击和 AI 驱动威胁的转变，这使攻击面超越了传统智能合约漏洞。
2026 年上半年（H1 2026）哪个区块链领域的财务损失最高？
据 SlowMist 数据，跨链桥的单起事件损失最高，20 起事件共约 3.46 亿美元，其中 4 月的 KelpDAO 漏洞利用事件占 2.92 亿美元。
2026 年上半年（H1 2026）香港采取了哪些监管行动？
香港于 4 月发放了首批法币挂钩稳定币发行人牌照，如 SlowMist 报告所述。
