​零時科技每月安全事件看點開始了！據多家區塊鏈安全監測平台統計，2026年9月加密貨幣領域安全態勢呈現「交易所後端與底層基礎設施成為攻擊新目標」的鮮明特點。當月因安全事件造成的總損失約7.3億美元，其中單起Bitget熱錢包後端系統操縱攻擊即造成約3.875億美元損失，Liquid Network驗證軟件漏洞攻擊造成約3.19億美元損失，兩起事件合計佔當月總損失的95%以上，使9月成為2026年迄今損失最高的月份。 需要特別說明的是，7.3億美元屬於事件報告/資金流出規模，並不等於最終無法追回的淨損失。其中Liquid Network攻擊者已歸還約85%被盜資金（約2.72億美元），目前仍有約4700萬美元未返還。 攻擊手法呈現顯著變化：交易所後端系統操縱、驗證軟件漏洞、治理提案操縱、預言機價格操縱、跨鏈橋餘額清空、DEX流動性池攻擊等多維攻擊方式併發，攻擊目標從智能合約層向基礎設施層加速轉移。 黑客攻擊方面 典型安全事件6起 • Bitget熱錢包後端系統操縱攻擊 時間：9月25日 損失金額：約3.875億美元 事件詳情：攻擊者利用第三方安全產品的零日漏洞獲取高權限內部憑證，偽造提現指令並繞過風控校驗，從Bitget熱錢包和溫錢包基礎設施中轉移約3.875億美元資產，涉及Ethereum、XRP、BSC、Arbitrum、Avalanche等多條鏈。Bitget確認私鑰未洩露，冷錢包未受影響，所有用戶餘額不受損失，損失由超過4.64億美元的用戶保護基金覆蓋。平台已隔離受影響系統、重置內部憑證，並聯合多家安全機構開展調查和鏈上追蹤。 • Liquid Network驗證軟件漏洞攻擊 時間：9月6日 損失金額：約3.19億美元 事件詳情：攻擊者利用Liquid Network驗證軟件Elements中的範圍證明緩存碰撞漏洞，在無真實資產背書的情況下鑄造約4000枚L-BTC，隨後通過SideSwap的peg-out機制贖回真實比特幣。自稱白帽的攻擊者通過鏈上消息與Blockstream談判，在漏洞修復後歸還約3400枚BTC（約85%），仍有約598.5枚BTC（約4700萬美元）未歸還。 • Neutron治理提案操縱攻擊 時間：9月22日 損失金額：約440萬美元 事件詳情：攻擊者僅花費約 20,199 USDC購買約3160萬枚NTRN，並在投票結束前約12分鐘完成質押，使一項惡意治理提案以約82%的支持率通過。隨後，攻擊者獲得11個合約的管理權限，並將相關合約遷移至惡意代碼，最終盜走約440萬美元資產。Cosmos Hub驗證者隨後協調暫停網絡約25小時，並從攻擊者關聯地址轉移約123萬枚ATOM進行資產追回。 • Duelbits平台熱錢包私鑰洩露攻擊 時間：9月24日 損失金額：約700萬美元 事件詳情：加密博彩平台Duelbits的熱錢包遭攻擊，疑似由私鑰洩露導致而非智能合約漏洞。攻擊者直接獲取熱錢包控制權，將約836枚ETH、162萬枚USDT、9.7萬枚USDC、3.15萬枚DAI、124億枚SHIB及8.1枚BTC轉移至新地址，隨後大部分資產被兌換為ETH並集中至單一地址。Duelbits聯合創始人確認損失約700萬美元，表示用戶資金安全，平台將保持離線直至調查結束並補充熱錢包資金。 • Nostra預言機價格操縱攻擊 時間：9月17日 損失金額：約350萬美元 事件詳情：攻擊者通過創建虛假流動性池並配合刷量交易，將NSTR代幣的報價從約0.006美元推高至約49.5美元，漲幅接近8000倍。由於Nostra的借貸協議依賴第三方價格源讀取該池報價，攻擊者以被嚴重高估的NSTR作為抵押品，從Starknet貨幣市場中借出約350萬美元的ETH、STRK、USDC、USDT、WBTC和DAI。攻擊者隨後將約192萬美元的被盜資產（包括234.57枚ETH和130萬枚DAI）跨鏈至以太坊。Nostra在事件發生後暫停了借貸、提款及清算功能 • Payy Network跨鏈橋漏洞攻擊 時間：9月24日 損失金額：約183萬美元 事件詳情：Payy Network的以太坊跨鏈橋於9月24日4:21 UTC遭到攻擊，攻擊者將橋內全部餘額約180萬美元的USDC轉出，隨後通過隱私協議Railgun為行動提供資金掩護，並將USDC兌換為ETH。Payy Network是一個提供鏈上薪資和金庫服務的rollup項目，確認損失資金為用戶存入的非托管資產，但尚未披露漏洞的具體原因。項目方在攻擊發生後暫停了所有運營。 Rug Pull / 釣魚詐騙 典型安全事件5起 (1) 9月16日，0xe268 開頭地址的受害者在以太坊上簽署釣魚簽名後損失了565,768美元的sUSDat (2) 9月25日，有人在以太坊上遭遇「地址投毒」攻擊，損失了價值 67,572 美元的 USDT。 正確地址：0xca16b299700674dda6941baa1bdeeff6d90fd94b 錯誤地址：0xca166632d25ea74baa93a5303aa73f61e80fd94b (3) 9月26日，有人在 XRP Ledger 上簽署了一筆釣魚交易，導致損失了價值 37,927 美元的 XRP。 受害者地址：rGtghKcmYY8gdUQwQerY5Ruww2LvdbgWVh (4) DYORSWAP 假主網釣魚事件 時間：9月27日 事件詳情：詐騙團伙搭建 GIWA 假主網，在 DYORSWAP 集成虛假跨鏈 RPC，誘導用戶將 ETH 轉入虛假橋合約，累計盜走約 200 萬美元。GIWA 官方澄清主網尚未上線，DEX 項目方啓動資金補償。 (5) Trezor郵件供應商遭攻擊，34.7萬用戶面臨釣魚風險 時間：9月 事件詳情：Trezor使用的郵件服務商Brevo遭到攻擊，攻擊者獲取部分客戶聯繫數據後，向約34.7萬名Trezor用戶發送仿冒官方安全警告的釣魚郵件，誘導用戶下載惡意程序並輸入錢包備份密碼。此次攻擊的典型之處在於，攻擊者沒有直接攻擊錢包本身，而是先攻破錢包廠商的上游服務商，再利用獲取的用戶信息實施精准釣魚。 (6) Robinhood Chain系列Meme幣Rug Pull 時間：7月10日—9月21日，9月27日披露 損失金額：至少1843萬美元 事件詳情：鏈上分析發現，同一操作團伙疑似關聯某鏈上至少53個Meme幣發行項目。團隊通過大量關聯錢包在代幣上線初期集中獲取70%以上的代幣供應，利用項目熱度吸引散戶參與後集中拋售套現；部分項目內部錢包甚至控制了82%至86%的代幣供應。調查顯示，前一個項目套現所得會被用於啓動下一個項目，形成「發行—集中控盤—吸引買盤—拋售套現—繼續發行」的循環收割模式，累計抽取資金至少約1843萬美元。 總結 2026年9月，攻擊目標從智能合約漏洞向更底層的基礎設施轉移的趨勢進一步明確。 除Bitget與Liquid Network兩起頭部事件外，FastSwap流動性池被閃電攻擊、Nostra預言機被8000倍虛假報價操縱、Payy Network跨鏈橋餘額被清空、Duelbits熱錢包私鑰洩露，均指向同一事實：攻擊者正在系統性地尋找基礎設施層面的薄弱環節，而非正面攻破合約代碼。 值得警惕的是，「系統被信任」本身已成為新的攻擊面。Bitget事件中，攻擊者利用第三方安全產品的零日漏洞獲取內部憑證，偽造提現指令並繞過風控——全程未觸碰私鑰。Liquid Network的攻擊則表明，驗證軟件層面的缺陷同樣可以撬動數億美元資產。 零時科技安全團隊建議： • 個人：警惕AI工具推薦的加密鏈接，始終通過官方渠道訪問；不簽署「無限授權」交易，定期清理授權。 • 項目方：對治理提案設置更高門檻和延遲執行機制；對驗證軟件和緩存機制進行專項安全審計；交易所應重點審查後端授權系統的數據完整性校驗；DEX應加強流動性池的異常交易監控。 • 行業：推動交易所後端安全標準的建立；加強對第三方安全產品供應鏈風險的監測；持續關注朝鮮Lazarus集團等國家級APT組織的攻擊手法演變。