109 篇博文 含有标签「安全」

2026 年 1 月，一个人接听了一个电话，回答了一个听起来像是常规支持的问题，结果损失了价值 2.82 亿美元的比特币（Bitcoin）和莱特币（Litecoin）。没有智能合约被利用。没有私钥被破解。没有预言机被操纵。攻击者只是索要了助记词，受害者就把它输入了。

那起单一事件——现在是加密货币历史上最大的社会工程学劫案——占 Web3 安全公司 Hacken 追踪的 2026 年第一季度所有损失的一半以上。Hacken 的季度报告已成为行业内最受关注的损失账本。Hacken 2026 年第一季度的数据非常直观：44 起事件中共被盗 4.826 亿美元，其中网络钓鱼和社会工程学占 3.06 亿美元，即损失的 63%。智能合约漏洞——这一在 2022 年 DeFi 夏天定义了黑客攻击的类别——仅贡献了 8,620 万美元的损失。

这些数字描述了行业在吸收这一结构性转变方面进展缓慢。攻击者不再竞相超越 Solidity 开发人员。他们正在竞相超越人类。而我们为了抵御第一类攻击所建立的基础设施——审计、漏洞赏金、形式化验证——对于阻止第二类攻击几乎无济于事。

2026 年 4 月的前 18 天里，攻击者从十几个 DeFi 协议中窃取了超过 6.06 亿美元——在不到三周的时间里，这一数字是 2026 年整个第一季度被盗总额的 3.7 倍。这是自 2025 年 2 月 Bybit 遭到 15 亿美元黑客攻击以来，加密货币盗窃最严重的月份，也是自 2022 年跨链桥漏洞利用时代以来，对 DeFi 领域损害最严重的时期。

但与 2022 年不同的是，几乎没有任何损失是由智能合约漏洞造成的。

Kelp DAO 跨链桥资金被盗（2.92 亿美元）、Drift Protocol 的预言机和密钥泄露（2.85 亿美元），以及 3 月底 Resolv Labs 的 AWS 劫持事件（2500 万美元）都有一个更隐秘、更令人不安的共同点：它们都是由协议团队对其自身的信任假设进行更改而引发的——一个默认配置、一个预先签署的治理迁移、一个单一的云端密钥——这些都没有任何智能合约审计师有理由去标记。2026 年 4 月的故事不是关于 Solidity 的。它是一个关于代码、基础设施和治理之间操作缝隙的故事，以及当“升级”变成新的攻击面时会发生什么。

压缩在 18 天内的、比第一季度更糟糕的一个月​

为了理解 4 月份的情况是多么异常，必须对数据进行拆解。

CertiK 将 2026 年第一季度的总损失定为约 5.01 亿美元，涉及 145 起事件——这本身就是一个偏高的数字，受 1 月份 3.7 亿美元网络钓鱼浪潮的影响而膨胀（当时是 11 个月以来最严重的月份）。2026 年 2 月回落至约 2650 万美元。3 月份通过 20 起独立事件回升至 5200 万美元，随着重复攻击模式在较小的 DeFi 场所出现，PeckShield 发出了“影子传染”的警告。

接着，2026 年 4 月 1 日——愚人节——以 Drift 漏洞利用拉开序幕，这是当时年度最大的黑客攻击。18 天后，Kelp DAO 的资金被盗案超过了它。仅这两起事件加起来就超过了 5.77 亿美元。再加上 Resolv 的余波、持续的基础设施泄露，以及在 PeckShield 和慢雾（SlowMist）追踪器中累积的十几个较小的 DeFi 违规行为，你在大约半个月的时间里就得到了 6.06 亿美元以上的损失。

作为参考，Chainalysis 报告称 2025 年全年的加密货币盗窃总额为 34 亿美元，其中大部分集中在 Bybit 漏洞中。如果 2026 年 4 月的速度持续下去，在年底前将轻松超过这一基准。威胁不仅在数量上有所增长，在集中度和攻击者的复杂程度方面也有所增长。

三起黑客攻击，三种截然不同的失败模式​

使 4 月份的激增具有分析意义——而不仅仅是惨淡——的原因在于，这三起旗舰事件清晰地对应了三类不同的攻击。每一类都针对堆栈的不同层级，且每一类失败都是传统智能合约审计师不负责捕捉的。

第一类：跨链桥配置成为新的单点故障 (Kelp DAO, 2.92 亿美元)​

4 月 18 日，一名攻击者从 Kelp DAO 由 LayerZero 支持的跨链桥中窃取了 116,500 rsETH——价值约 2.92 亿美元。该技术经 CoinDesk 和 LayerZero 自身取证团队重建，并非利用 Solidity 漏洞。它利用的是一种配置选择。

Kelp 的跨链桥运行的是单验证者（1-of-1 DVN）设置。攻击者入侵了为该验证者提供服务的两个 RPC 节点，使用协调的 DDoS 攻击迫使验证者进入故障转移状态，然后利用被入侵的节点证明虚假的跨链消息已经到达。跨链桥随即释放了 rsETH。LayerZero 将此操作归功于北朝鲜的拉撒路集团（Lazarus Group）。

随之而来的是一场公开的指责大战，这本身就揭示了操作层变得多么脆弱。LayerZero 辩称 Kelp 曾被警告过要使用多验证者配置。Kelp 反驳称，1-of-1 DVN 模型是 LayerZero 自身关于新 OFT 集成部署文档中的默认设置。从技术上讲，这两个立场都是正确的。更深层次的问题在于，没有任何审计公司（如 CertiK、OpenZeppelin、Trail of Bits）会将“你的消息层 DVN 配置是否适合你打算跨链的价值”这一项审查产品化。这种对话存在于两个团队之间的 Slack 频道中，而不是在交付物中。

第二类：预先签署的治理授权作为潜在后门 (Drift, 2.85 亿美元)​

4 月 1 日，Solana 最大的永续合约 DEX —— Drift Protocol 在 12 分钟内被盗走约 2.85 亿美元。该攻击链包含了三个矢量：

1. 伪造的预言机标的。 攻击者铸造了约 7.5 亿个伪造的 “CarbonVote 代币”（CVT），种子化了一个约 500 美元的极小 Raydium 池，并以接近 1 美元的价格进行虚假交易以制造价格历史。
2. 预言机摄取。 随着时间的推移，这种虚构的价格被预言机馈送捕获，使 CVT 看起来像是一个合法的报价资产。
3. 特权访问。 最具破坏性的是，攻击者之前通过社交工程诱骗了 Drift 的多签签署者预先签署了隐藏授权，而一个零时间锁（zero-timelock）的安全委员会迁移消除了协议最后的延迟防御。

在针对操纵后的预言机批准了膨胀的抵押品头寸后，攻击者在任何链上监控触发之前，跨 USDC、JLP 和其他储备执行了 31 次快速提现。

有两个细节值得强调。首先，Elliptic 和 TRM Labs 都将 Drift 事件归因于拉撒路集团，使其成为 18 天内第二起国家级 DeFi 入侵事件。其次，协议本身并没有失败——失败的是其治理管道。智能合约的表现完全符合配置。漏洞存在于社交工程以及移除时间锁的治理升级中。

Solana 基金会的反应耐人寻味：它在几天内宣布了安全改革，明确将该事件定义为协议与生态系统之间的协调问题，而非 Solana 协议漏洞。这种界定是正确的。这也是对边界已经发生转移的承认。

第 3 类：支撑 5 亿美元稳定币的单一云密钥（Resolv，2500 万美元）​

3 月 22 日发生的 Resolv Labs 事件在涉及金额上是三者中最小的，但在结构上最具启发意义。一名攻击者获得了 Resolv Labs 的 AWS 密钥管理服务 (KMS) 环境的访问权限，利用具有特权的 SERVICE_ROLE 签名密钥，从约 10 万至 20 万美元的真实 USDC 存款中铸造了 8000 万枚无抵押的 USR 稳定币。总套现时间：17 分钟。

漏洞并不在于 Resolv 的智能合约——那些合约通过了审计。问题在于特权铸造角色是一个单一的外部拥有账户 (EOA)，而不是多签账户，且其密钥存放在单一的 AWS 账户之后。正如 Chainalysis 所言，“一个 TVL 达 5 亿美元的协议，其无限铸造权限竟由一个单一私钥掌控。” 最初的入侵途径是网络钓鱼、错误配置的 IAM 策略、受损的开发人员凭据，还是供应链攻击，目前仍未披露——而这种模糊性本身就是重点。该协议的攻击面就是其 DevOps 边界。

共同点：未经红队评审的升级​

桥、预言机和云管理的签名密钥看起来是截然不同的攻击面。但 4 月份发生的每起事件都可以追溯到相同的操作模式：团队对配置、治理流程或基础设施选择进行了“升级”，从而改变了协议的信任假设，而没有任何评审流程被设计用来捕获这些新的假设。

Kelp 升级到了 LayerZero 文档中记录但未针对 3 亿美元流动性进行压力测试的默认 DVN 设置。Drift 升级了其安全委员会治理以移除时间锁，消除了本可以暴露社交工程授权的延迟。Resolv 将单一密钥上的特权铸造角色作为常规云 DevOps 的一部分投入运营。

这正是为什么 OWASP 将“代理和可升级性漏洞” (SC10) 作为其 2026 年智能合约 Top 10 的全新条目。该框架终于跟上了攻击者的步伐。但 OWASP 规则不会自行运行；它们需要人工评审，而大多数协议仍然没有为此预留预算，因为主流的安全叙事仍然是“我们已经过审计”。

这一叙事现在已被证明是不足够的。2026 年发生的三起最大事件都通过了智能合约审计。漏洞出在别处。

130 亿美元的资金外流与模块化信任的真实成本​

经济损失的影响远不止被盗资金。在 Kelp 被盗后的 48 小时内，Aave 的 TVL 下降了约 84.5 亿美元，更广泛的 DeFi 行业蒸发了 超过 132 亿美元。AAVE 代币下跌了 16–20%。SparkLend、Fluid 和 Morpho 冻结了与 rsETH 相关的市场。SparkLend 或许从这次轮换中获益最多，随着用户寻找抵押资产结构更简单的场所，它捕获了约 6.68 亿美元的净新增 TVL。

传染背后的机制值得明确指出来。在排空 Kelp 的桥接资产后，攻击者将盗取的 rsETH 作为抵押品存入 Aave V3，并以此进行借贷——在单一的 rsETH/wrapped-ether 交易对中留下了约 1.96 亿美元的坏账。由于模块化 DeFi 的组合方式，任何接受 rsETH 作为抵押品的借贷平台都无法预见，其抵押品保障竟然处于一个具有 1-of-1 故障模式的单一验证者 LayerZero 桥中。当桥倒塌时，每个平台都同时暴露在同一个漏洞之下。

这是 DeFi 可组合性核心中的隐形耦合问题。每个协议都审计自己的合约。几乎没有协议会审计其接受作为抵押品的代币所属协议的操作假设。2026 年 4 月的连环事件让目前正在权衡 DeFi 集成的每家机构性机构的风险主管都清晰地看到了这一差距。

下一步：从审计转向持续运营评审​

如果说对 4 月份的一系列事件有什么建设性的解读，那就是它使得下一阶段的 DeFi 安全投资变得不可避免。三种转变已经显现：

1. 桥接配置披露成为基本要求。 预计流动性再质押和跨链协议将开始发布（并更新）明确的 DVN 配置、回退规则和验证者阈值，就像今天发布智能合约源代码一样。将配置作为一类披露产物早已势在必行。

2. 时间锁作为不可协商的治理默认设置。 行业分析 一致认为，治理迁移的实际最小延迟为 48 小时——这段时间足够监控系统检测到异常并让用户提款。Drift 的漏洞利用可能会在第三季度前使零时间锁迁移在专业上变得不可接受。

3. 特权密钥托管需在正式的多方计算 (MPC) 或 HSM 控制下。 Resolv 的单一 EOA 铸造角色现在成了行业的反面教材。持有铸造权限的协议应预期其 LP 和机构集成商默认要求门限签名方案或硬件隔离的密钥托管。

更深层次的结构性变化是，“审计”作为一次性交付物，正在被 持续运营评审 所取代——即对配置、治理变更和基础设施依赖项进行持续评估，这些因素的演变速度超过了任何年度审计频率所能追踪的范围。那些最快内化这一点的协议，将吸收目前正在观望、等待坏账结算的机构资金。

信任面已发生转移​

2026 年 4 月并没有带来一种全新的攻击类型，更多的是证实了旧的防御体系正对着错误的边界。智能合约审计仍然必要，但远不足够。DeFi 的信任面已经向外扩展到了跨链桥配置、治理架构以及云管理密钥 —— 拥有国家级背景的对手凭借其耐心和资源，正在系统性地攻克这些边界。

那些能够赢得下一波机构集成的协议，是那些能以对待 Solidity 代码的严谨态度来对待其 运营 姿态的协议。那些仍然拿着一年前的审计 PDF 作为其安全说辞的团队，正日益成为下个月头条新闻的候选项。

---

BlockEden.xyz 为那些需要让依赖项成为其技术栈中最“乏味”部分的构建者提供企业级 RPC 和索引基础设施。探索我们的 API 市场，在为 2026 年所需的运营严谨性而设计的基石上进行构建。

三次攻击。19 个月。超过 1.4 亿美元不翼而飞。然而 BtcTurk 依然处理着土耳其每年约 2000 亿美元加密货币交易量的大部分 —— 因为对于大多数土耳其用户来说，别无他选。

这种紧张关系才是 2026 年 1 月 BtcTurk 被盗事件的真相，而非 4800 万美元那个头条新闻。当土耳其占据主导地位的交易所自 2024 年年中以来第三次丢失热钱包资金，而零售用户却耸耸肩继续交易时，一些结构性的东西正在崩溃。新兴市场的加密货币用户正在支付所谓的“信任税” —— 为了换取本币出入金通道，他们接受了比国际竞争对手更弱的资产托管。随着全球加密货币的采用从投机交易转向以稳定币计价的储蓄，这笔税款即将引起关注。

一个人在一次通话中损失了 2.82 亿美元。没有智能合约被利用，没有一行 Solidity 代码被触及。2026 年 1 月 10 日，一名虚假的 IT 支持代表诱导一位加密货币持有者执行了硬件钱包的“恢复”流程，并带走了比大多数 DeFi 协议总锁仓价值（TVL）还要多的比特币（Bitcoin）和莱特币（Litecoin）。这起单一事件——规模超过了 Drift，甚至超过了 Kelp DAO 本身——占据了 2026 年第一季度 Web3 所有损失金额的一半以上。

Hacken 的 2026 年第一季度区块链安全与合规报告 指出，该季度 44 起事件共导致 4.826 亿美元资金被盗。仅网络钓鱼和社会工程学就掠走了 3.06 亿美元——占季度总损失的 63.4%。智能合约漏洞利用仅造成了 8620 万美元的损失。访问控制失败——包括密钥泄露、云凭证被盗、多签接管——又增加了 7190 万美元。数据非常直观：上季度从有漏洞的代码中每被盗走 1 美元，攻击者就会通过围绕代码的人员、流程和凭证榨取大约 3.5 美元。

对于一个五年来一直将“已审计”视为“安全”代名词的行业来说，第一季度的数据是一个警示。攻击面已经转移，但投入却没有。

如果赋予量子计算机强大能力的物理学原理，同时也可能清空中本聪（Satoshi）的钱包——以及随之而来的价值约 4400 亿美元的比特币，那会怎样？2026 年 1 月，一家名为 Project Eleven 的纽约初创公司以 1.2 亿美元的估值筹集了 2000 万美元，旨在确保在那一天到来之前，防御措施已经准备就绪。在 Castle Island Ventures、Coinbase Ventures、Variant 和 Balaji Srinivasan 的支持下，本轮融资标志着首个进入“量子安全加密（quantum-safe crypto）”领域的严肃资本周期——也标志着比特币最隐秘的生存风险正式成为了一个可获投资的行业。

多年来，“量子风险”一直存在于学术论文的脚注中。但在 2026 年，它进入了风险投资条款清单、NIST 标准以及一场实时的 BIP（比特币改进提案）辩论中。以下是原因，以及目前正在构建的实际内容。

让量子威胁成真的融资轮次​

Project Eleven 的 A 轮融资于 2026 年 1 月 14 日结束，由 Castle Island Ventures 领投，Coinbase Ventures、Variant、Fin Capital、Quantonation、Nebular、Formation、Lattice Fund、Satstreet Ventures、Nascent Ventures 和 Balaji Srinivasan 参投。这笔 2000 万美元的资金将 Project Eleven 的投后估值推高至 1.2 亿美元，使其在 16 个月内的总融资额达到约 2600 万美元——该公司此前曾在 2025 年中期筹集了 600 万美元的种子轮融资。

创始人 Alex Pruden 曾是美国陆军步兵和特种作战部队军官，他简洁地阐述了公司的使命：数字资产需要有组织地迁移到抗量子密码学，而必须有人来制造这些“铁锹和铲子（基础工具）”。

值得关注的不只是融资金额，还有投资者的组合。Castle Island 和 Coinbase Ventures 通常不会为纯投机性的理论开出七位数的支票。Variant、Nascent 和 Lattice 是加密原生基金，而 Quantonation 则是专注于量子技术的投资者。他们共同释放了一个信号：量子安全基础设施已从研究层面的好奇心跨越到了预算开支项——而且比特币超过 1.4 万亿美元的市值，足以成为在攻击出现之前就资助防御的动力。

为什么比特币的密码学突然面临紧迫倒计时​

比特币通过 secp256k1 曲线上的椭圆曲线数字签名（ECDSA）保护着约 1970 万枚代币。ECDSA 在传统硬件上是无法破解的，但 Shor 算法（一种 1994 年提出的量子算法）可以在多项式时间内分解大整数并计算离散对数。一旦出现了足够大且具有容错能力的量子计算机，每一个暴露的比特币公钥都将变成一个等待被获取的私钥。

这种威胁蛰伏了数十年，因为硬件看起来还遥不可及。但这个时间窗口在 2026 年 3 月崩溃了。

3 月 31 日，Google Quantum AI 发布了新的资源估算，显示破解比特币的 secp256k1 曲线需要少于 1,200 个逻辑量子比特（logical qubits）和大约 9000 万个 Toffoli 门——这相当于在超导表面码架构（superconducting surface-code architecture）上需要不到 500,000 个物理量子比特。之前的估算大约是 900 万个物理量子比特。一篇论文就将需求降低了 20 倍。

一位谷歌研究员给出了这一里程碑的概率：到 2032 年，量子计算机有至少 10% 的机会能从暴露的公钥中恢复 secp256k1 ECDSA 私钥。谷歌官方目前已敦促开发者在 2029 年之前完成迁移。

目前的硬件距离 50 万个量子比特还很遥远。谷歌的 Willow 芯片目前拥有 105 个物理量子比特。IBM 的 Condor 在 2023 年跨越了 1,121 个量子比特的门槛，而该公司的 Nighthawk 在 2025 年达到了 120 个逻辑量子比特。但是，“遥不可及”与“令人不安的临近”之间的距离，正是保险定价生存的空间——如果迁移需要十年时间，那么比特币的风险暴露就不是 2035 年才需要面对的问题。

哪些资产真正处于风险中——而哪些不是​

并非所有比特币都面临同样的风险。脆弱性取决于某种代币的公钥是否曾在链上广播过。

• 支付至公钥 (P2PK)：比特币最早几年的输出——包括中本聪挖掘的大约 100 万枚 BTC——直接在脚本中嵌入了原始公钥。这些公钥永久暴露，为量子攻击者提供了一个长期的、无防御的攻击路径。
• 重用地址：任何类型的重用地址在第一笔支出交易确认的那一刻就会暴露公钥，此后任何剩余余额都会变得脆弱。
• 现代地址 (P2PKH, P2WPKH, 带密钥路径支出的 P2TR)：在第一次支出之前只显示哈希值。它们在冷钱包中是安全的，但在交易广播期间会失去保护——在这个时间窗口内，拥有量子能力的对手可能会进行抢先交易（front-run）。

总量是惊人的。据估计，约有 650 万至 700 万枚 BTC 存储在量子脆弱的 UTXO 中，按当前价格计算价值约 4400 亿美元。这并不是隐藏在订单簿角落里的尾部风险。这是加密领域第五大“资产类别”，而其所有权属于尚未露面的攻击者。

正在竞争的三种缓解方案​

Project Eleven 的 2000 万美元资金并非孤立投入。它正处于关于比特币如何实际转型的三方辩论中心，而给出的答案各不相同。

1. 迁移工具：Project Eleven 的 Yellowpages​

Project Eleven 的旗舰产品 Yellowpages 是一个后量子密码学注册表。用户利用基于格的算法（lattice-based algorithms）生成混合密钥对，创建将新的量子安全密钥与现有 Bitcoin 地址相关联的密码学证明，并将该证明的时间戳记录在可验证的链下账本上。当（或如果）Bitcoin 采用后量子地址标准时，Yellowpages 的用户已经预先提交了可以申领其代币的密钥。

至关重要的是，Yellowpages 是目前唯一实际部署在 Bitcoin 生产环境中的后量子密码学解决方案。该公司还为 Solana 构建了一个后量子测试网——在其他人还在起草白皮书时，悄无声息地将自己定位为跨链迁移供应商。

2. 协议级地址标准：BIP-360​

由开发者 Hunter Beast 倡导的 BIP-360 提出了一种名为 Pay-to-Merkle-Root (P2MR) 的新 Bitcoin 输出类型。P2MR 的功能类似于 Pay-to-Taproot，但剥离了容易受量子攻击的密钥路径支出（key-path spend），取而代之的是 FALCON 或 CRYSTALS-Dilithium 签名——这两种方案都是被认为具有量子抗性的基于格的方案。

如果通过软分叉激活，BIP-360 将为用户提供一个迁移目的地。然而，它并不能自动解救已经暴露的代币。

3. 代币冻结：BIP-361​

于 2026 年 4 月提出的 BIP-361 是最具争议的回应：冻结大约 650 万枚处于量子威胁下的 BTC——包括中本聪（Satoshi）的一百万枚代币——以防止攻击者进行抢跑（front-run）交易。恢复将仅限于从 BIP-39 助记词生成的钱包。P2PK 输出和其他早期格式将实际上被销毁。

该提议将 Bitcoin 社区沿其最古老的裂痕分离开来。一派认为不可篡改性和公信中立性是神圣不可侵犯的——即使攻击者最终窃取了这些代币。另一派则反驳称，允许 4400 亿美元在单个周末迁移到敌对势力手中将是货币史上最大的财富转移，而且 Bitcoin 固定供应模型的完整性本身就是值得捍卫的属性。

目前没有完美的答案。要么 Bitcoin 接受 650 万枚代币可能被悄无声息盗取的事实，要么接受通过协议级干预冻结代币，而这将建立一个网络在过去 17 年里一直极力避免的先例。

NIST FIPS 203/204 设定加密默认标准​

技术基石现在已经存在，因为 NIST 已经将其最终定稿。2024 年 8 月 13 日，该机构发布了三项后量子密码学标准：

• FIPS 203 (ML-KEM)：基于模块格的密钥封装机制，衍生自 CRYSTALS-Kyber。用于取代 RSA 和 ECDH 进行密钥交换。
• FIPS 204 (ML-DSA)：基于模块格的数字签名算法，衍生自 CRYSTALS-Dilithium。用于取代 ECDSA 和 RSA 进行签名。
• FIPS 205 (SLH-DSA)：无状态基于哈希的数字签名标准，衍生自 SPHINCS+，提供了一种保守的基于哈希的签名替代方案。

美国国家安全局（NSA）的 CNSA 2.0 路线图强制要求在 2027 年前为新的机密系统部署后量子加密，并在 2035 年前完成全面过渡。NIST 自身预计关键基础设施的采用周期为 5-10 年。Cloudflare 的目标是到 2029 年实现全面的后量子覆盖。

Bitcoin 的迁移时间表本应处于这个范围之内。困难在于，主权国家的 IT 部门可以强制执行最后期限。而一个无需许可的去中心化网络必须说服成千上万个独立的参与者在没有 CEO 的情况下进行协作。

Optimism 对标：Ethereum 的超级链（Superchain）如何应对​

Bitcoin 在这场竞赛中并不孤单。2026 年 1 月底，Optimism 为其超级链（Superchain）发布了一份为期 10 年的后量子路线图——这形成了一个有用的对比。

OP Stack 计划分为三层：

• 用户层：利用 EIP-7702 让外部账户 (EOA) 将签名权限委托给能够验证后量子签名的智能合约账户，而不必强制用户放弃现有地址。
• 共识层：将 L2 排序器（sequencers）和批处理提交者（batch submitters）从 ECDSA 迁移到后量子方案。
• 迁移窗口：在 2036 年 1 月截止日期前，同时支持 ECDSA 和后量子签名。

Optimism 还在游说 Ethereum 主网，希望其承诺将验证者从 BLS 签名和 KZG 承诺中迁移出来的时间表。据报道，以太坊基金会已参与其中。

架构上的分歧具有启发性。Ethereum 的账户抽象路线图（以及 Solana 的运行时灵活性）使后量子迁移更像是一次智能合约升级。而 Bitcoin 的 UTXO 模型和极简的脚本语言使其成为一场软分叉辩论，需要在开发者、矿工和经济节点之间达成社会共识。同样的问题产生了截然不同的治理挑战。

投资者论点：保险溢价定价​

为什么在今天还没有量子计算机能破解 Bitcoin 的情况下，2000 万美元的 A 轮融资在 1.2 亿美元的估值下是合理的？

这背后的逻辑是精算。如果你认为 Q 日（Q-day）在 2032 年之前发生的概率为 10%，并将其应用于 1.8 万亿美元的 Bitcoin 和 Ethereum 风险敞口，预期损失将超过 1800 亿美元。即使是对该风险敞口收取 1% 的保险溢价，在托管商、交易所、钱包和受监管的代币化平台中也能产生 18 亿美元的经常性收入。Project Eleven 只需要占领其中的一小部分，就足以支撑数十亿美元的估值。

竞争格局非常稀疏。Zama 正在构建全同态加密 (FHE) 原语，而非签名替代方案。Mina 在设计上对后量子友好，但它是一个独立的 L1，而非迁移供应商。AWS KMS 和 Google Cloud HSM 最终将提供开箱即用的后量子签名服务——但追求通用型 PQC 服务的大型云服务商，与实际为 Bitcoin 交付了生产级工具的领域专家团队不可同日而语。

Project Eleven 面临的风险与任何“为必然性而建的基础设施”初创公司相同：如果迁移耗时太长，客户就不会为此预留预算；如果发生得太快，在 Project Eleven 建立分销渠道之前，它就会被云供应商吞噬。A 轮融资为其赢得了在尴尬的过渡期内成为默认选择的资金支持。

建设者、托管机构和持有者现在应该做什么​

实际步骤虽枯燥乏味，且无需等待比特币治理：

1. 审计地址重用。任何曾经支出过且仍持有余额的地址都在广播其公钥。将资金转移到你从未进行过交易的新地址。
2. 避免 P2PK 和传统格式。如果你的托管技术栈仍涉及这些格式，请计划迁移到单次使用的现代地址类型。
3. 跟踪 BIP-360 / BIP-361 的进展。对于长期持有者来说，激活时间表比现货价格更重要。
4. 对于机构：现在就开始调研阶段。NIST 和美联储都建议在两到四年内完成资产清点和迁移规划。这包括 HSM 供应商路线图、KYT 流程和财务政策。
5. 对于建设者：设计具有加密敏捷性（crypto-agility）的新系统。如今硬编码 ECDSA 的协议将比那些在接口后抽象化签名方案的协议支付更高的迁移成本。

即使 Q-day 永远不会以 Google 论文中所描述的形式到来，其中的大多数步骤也是有用的。它们同样能减少针对传统威胁的攻击面。

大局观：量子迁移是新的“千年虫”——只不过它是真实存在的​

千年虫（Y2K）的比喻被过度使用了，但在结构上是恰当的。这是一个长期预警、技术性强、重治理、具有外部强制期限的升级，成功是无形的，而失败则是灾难性的。据估计，全球经济为补救 Y2K 花费了 3000 亿至 6000 亿美元。后量子迁移的成本可能会更高，因为安装基数更大，且正在升级的系统包括没有任何一家公司可以控制的公有区块链。

Project Eleven 的 2000 万美元融资是对比特币无法再忽视时间表的首次严肃承认。Optimism 的 10 年路线图是主要 L2 的首次严肃承认。Google 3 月 31 日的论文则是量子领域巨头首次严肃承认时间线比行业假设的要短。

到 2027 年，预计会出现三件事：至少有一个与后量子地址类型相关的 BIP 达到激活状态（BIP-360 是领先候选者），每个主要的机构托管商都会发布量子准备声明，以及至少还有两家以上的初创公司以 Project Eleven 的模式完成融资。到 2030 年，后量子签名将成为每份企业加密采购 RFP（招标书）中的必选项。

Q-day 可能会也可能不会按照 Google 的时间表到来。抵御它的迁移已经开始，而抢占先机的窗口期正在迅速缩小。

BlockEden.xyz 在 15+ 条链上运营企业级 RPC 和索引基础设施。随着后量子标准的成熟和链级迁移的展开，我们的节点是新签名方案、地址类型和双重支持窗口在生产环境中实际运行所需的层级。探索我们的 API 市场，在为加密转型的长远发展而设计的基础设施上进行构建。

来源​

• Project Eleven 融资 2000 万美元，为量子时代准备数字资产基础设施 — Project Eleven 博客
• 后量子加密初创公司 Project Eleven 在融资轮中筹集 2000 万美元 — CoinDesk
• Project Eleven 以 1.2 亿美元估值完成 2000 万美元 A 轮融资 — The Block
• 你好，黄页 — Project Eleven 博客
• BIP 360：默克尔根支付 (P2MR) — BIP-360 规范
• BIP-361 提案寻求冻结具有量子漏洞的比特币地址 — Bankless Times
• 比特币开发者请注意：Google 表示后量子迁移需在 2029 年前完成 — CoinDesk
• Google 发现量子计算机突破比特币加密的速度可能快于预期 — SiliconANGLE
• NIST 发布首批 3 个正式后量子加密标准 — NIST
• 超级链的后量子路线图 — Bankless Times 关于 Optimism 的报道
• 量子计算风险威胁 700 万枚 BTC，包括中本聪的 100 万枚 — CoinDesk
• “现在收割，以后解密”：审视后量子密码学 — 美联储研究报告

仅在 2026 年 4 月的 18 天内，攻击者就从 DeFi 中抽走了 6.06 亿美元。这一时期的损失是 2026 年第一季度总损失的 3.7 倍，使该月成为自 2025 年 2 月 Bybit 被盗案以来最糟糕的一个月。两个协议——Solana 上的 Drift 和 Ethereum 上的 Kelp DAO——占据了 95% 的损失。这两个协议都经过了审计，都通过了静态分析，都发布了常规升级，但这些升级悄无声息地使审计师验证过的假设失效了。

这是 DeFi 风险的新面孔。2026 年的灾难性漏洞利用不再是模糊测试工具在 CI 中就能发现的重入漏洞或整数溢出。它们是升级引入的漏洞：对桥接配置、预言机源、管理员角色或消息传递默认设置的细微更改，将原本安全的代码变成了敞开的大门——而 Solidity 的任何一行代码看起来都没有明显错误。

如果你在 DeFi 中进行开发、托管或仅仅是持有资产，2026 年 4 月带来的教训是令人不安的：三个月前的一份干净的审计报告，已不再能证明该协议在今天仍然安全。

4 月的模式：配置而非代码​

要理解为什么“升级引入”值得被归为单独一类，请看这两起最大的漏洞利用是如何实际发生的。

Drift Protocol —— 2.85 亿美元，2026 年 4 月 1 日。 Solana 上最大的永续合约 DEX 在攻击者对团队进行了为期六个月的社会工程学攻击后，损失了超过一半的 TVL。一旦建立了信任，攻击者就利用 Solana 的“持久化 nonce (durable nonces)”功能（一种旨在让用户预先签署交易以便稍后提交的 UX 便利功能），诱骗 Drift 安全委员会成员授权他们认为是常规运营签名的操作。这些签名最终将管理权限交给了攻击者，攻击者随后将一个伪造的抵押品代币 (CVT) 列入白名单，存入了 5 亿个单位，并提现了 2.85 亿美元的真实 USDC、SOL 和 ETH。Solana 的功能运行正常。Drift 的合约也在执行管理员的指令。攻击完全发生在多签签署者认为他们批准的内容与实际批准的内容之间的鸿沟中。

Kelp DAO —— 2.92 亿美元，2026 年 4 月 18 日。 LayerZero 认为攻击者是朝鲜的 Lazarus Group，他们劫持了支持 Kelp 跨链 rsETH 桥的两个 RPC 节点，更换了其上运行的二进制文件，并利用 DDoS 强制验证器故障转移。随后，恶意节点告诉 LayerZero 的验证器发生了一笔欺诈交易。该漏洞之所以能被利用，是因为 Kelp 运行了 1-of-1 验证器配置——这意味着单个由 LayerZero 运营的 DVN 拥有确认跨链消息的单方面权限。据 LayerZero 称，这种 1-of-1 设置是其快速入门指南中的默认设置，目前该网络上约有 40% 的协议在使用。在 46 分钟内，攻击者抽走了 116,500 个 rsETH（约占总流通供应量的 18%），并将封装好的抵押品滞留在 20 条链上。列出 rsETH 的 Aave 因存款人竞相退出而被迫陷入流动性危机。

这两起攻击都不需要智能合约漏洞。两者都要求理解一种配置——多签签名流、默认 DVN 数量、RPC 冗余——是如何被默默地从“运营细节”提升为“承重的安全假设”的。

为什么静态审计会遗漏这类漏洞​

传统的 DeFi 审计针对的是错误的威胁模型。Certik、OpenZeppelin、Trail of Bits 和 Halborn 等公司擅长逐行代码审查，并针对冻结的合约版本运行不变性测试。这能发现重入、访问控制错误、整数溢出和 OWASP 类型的故障。

但升级引入的漏洞类别具有三个令该工作流失效的特性：

1. 它存在于组合的运行时行为中，而非源代码中。 跨链桥的安全性取决于其消息层的验证器配置、DVN 集合、这些 DVN 的 RPC 冗余以及这些运营商的罚没风险暴露。这些都不在审计师阅读的 Solidity 代码中。

2. 它是通过变更引入的，而不是初始部署。 Kelp 的桥接在最初集成 LayerZero v2 时想必看起来是没问题的。只有当 TVL 增长到足以成为攻击目标，且 Lazarus 投入资源攻击 RPC 基础设施时，DVN 数量才变得危险。

3. 它需要行为差异测试 (behavioral differential testing) —— 即回答“在新的代码路径下，不变性 X 是否仍然保持？”——目前主要的审计公司都没有将此作为定期的升级后服务进行产品化。你在 1.0 版本获得一次性审计，在 1.1 版本获得另一次性审计，但没有持续的声明来证明从 1.0 升级到 1.1 不会破坏 1.0 所依赖的特性。

2026 年第一季度的统计数据量化了这一差距。整个季度 DeFi 在 34 起事件中记录了 1.655 亿美元的损失。仅 4 月份就在 12 起事件中产生了 6.06 亿美元的损失。部署侧在扩张——第一季度新增了超过 400 亿美元的 TVL——而审计能力、事件响应和部署后验证则基本保持持平。总有些环节会出问题。

使 2026 年成为风险大规模爆发之年的三大力量​

1. 各个层级的升级节奏都在加快​

每个 L1 和 L2 都在以更快的速度迭代。Ethereum 的 Pectra 升级正在积极推出，Fusaka 和 Glamsterdam 处于设计阶段，而 Solana、Sui 和 Aptos 都在以数周为周期发布执行层变更。每一次链级升级都可能微妙地改变 Gas 语义、签名方案或交易排序，从而对应用层的假设产生波纹效应。Drift 的漏洞利用是一个典型的例子——一个旨在提供 UX 便利的 Solana 特性（持久化 nonce）成为了管理员权限接管的载体。

2. 再质押加剧了升级的暴露面​

再质押技术栈——EigenLayer（仍占据 80% 以上的市场份额）、Symbiotic、Karak、Babylon、Solayer——为这个问题增加了第三个维度。像 rsETH 这样的单一 LRT 位于 EigenLayer 之上，而 EigenLayer 又位于原生 ETH 质押之上。每一层都按照自己的计划发布升级。EigenLayer 削减（slashing）语义的改变，会对每个节点运营商以及消费该运营商验证服务的每个 LRT 产生隐含影响。当 Kelp 的桥接被抽干时，这种传染风险立即威胁到 EigenLayer 的 TVL，因为同样的存款人面临着他们从未被强制建模过的三层再抵押敞口。随着即将到来的 EigenDA、EigenCompute 和 EigenVerify 扩展，EigenCloud 的路线图只会进一步扩大这一暴露面。

3. AI 驱动的 DeFi 活动比人工审查更快​

XION、Brahma Console 和 Giza 等代理栈（Agent stacks）现在正以机器速度与升级后的合约进行交互。人类财务主管可能会在合约升级后等待数天再重新参与，而代理则会在数小时内完成回测、集成并引导资金。任何悄悄破坏不变量的升级，在人类审计师能够重新审查之前，都会受到对抗性流量的压力测试。

正在浮现的防御性架构​

令人振奋的消息是，安全研究社区并未坐以待毙。2026 年 4 月的损失催生了四个方面的具体提案。

持续形式化验证。Certora 与 Aave 的长期合作——作为持续验证赠款而非一次性业务资助——现在已成为模板。Certora Prover 在每次合约更改时都会自动重新运行不变量证明，在合并之前发现破坏点。Halmos 和 HEVM 为实现同一目标提供了替代的开源路径。当形式化验证最近在与 Ethereum 的 Electra 升级集成中捕获了一个传统审计遗漏的漏洞时，这并非偶然，而是一个预兆。

升级差异（Diff）审计服务。Spearbit、Zellic 和 Cantina 已开始试点付费服务，专门审计两个合约版本之间的“差异”，而不是孤立地审计新版本。该模型将每次升级视为一次新的认证，并明确检查先前的不变量是否得以保留。Ethereum 基金会于 2026 年 4 月 14 日启动的 100 万美元审计补贴计划，其合作伙伴名单包括 Certora、Cyfrin、Dedaub、Hacken、Immunefi、Quantstamp、Sherlock、Spearbit、Zellic 和 Zokyo，部分目的就是为了扩大处理此类工作的能力。

混沌工程和运行时监控。OpenZeppelin Defender 和新兴工具正将分叉主网模拟（forked-mainnet simulations）接入 CI 流水线，允许协议针对每一个提议的升级回放对抗性场景。这种学科直接借鉴了 Web2 SRE 的实践——在 DeFi 领域早已迫在眉睫。

时间锁升级托管。Compound Timelock v3 模式中，每个经治理批准的升级都会在执行前在公开队列中停留一段固定的延迟时间，这为社区提供了发现内部审查遗漏问题的机会。它不能防止升级引入的 Bug，但它为漏洞利用前的发现赢得了时间。

TradFi 对比：持续审计是 DeFi 之外的常态​

传统金融在几十年前就解决了类似的问题。SOC 2 Type II（大多数机构服务提供商遵循的标准）不是一次性认证，而是一个 6 到 12 个月的持续审计窗口。巴塞尔协议 III 的交易对手风险框架要求银行在风险敞口发生变化时更新其资本模型，而不是每年更新一次。升级结算系统的托管银行将不被允许基于“我们审计了 v1，v2 只是个小改动”的基础进行运营。

DeFi 盛行的文化——“审计一次，永久部署，仅在重大重写时重新审计”——是 TradFi 在 2008 年危机后明确拒绝的做法。按照目前的损失率，该行业有望达到 20 亿美元或更多的年度升级漏洞利用损失。这足以引起监管机构的注意，他们已经认为 DeFi 的审计标准不达标；这也足以使持续验证成为机构资本入场的先决条件。

这对开发者、存款人和基础设施意味着什么​

对于协议团队来说，运营任务是明确的，即便代价昂贵：每次升级都必须被视为一个重新推导（而非继承）其安全保证的新发布。这意味着基于差异的定期重新审计、随每个治理提案同步的形式化验证规范，以及执行前的实质性时间锁。这意味着需要像 Aave 那样发布一个量化的级联风险框架，指明你依赖哪些协议，以及当其中一个协议失败时你的风险敞口。

对于存款人来说，教训是“该协议已通过审计”本身不再是一个有用的信号。正确的问题应该是：“针对哪些不变量、针对哪个部署代码版本，进行了最近一次持续验证运行？”无法回答该问题的协议应在定价中体现相应的风险。

对于基础设施提供商（RPC 运营商、索引器、托管商）来说，Kelp 事件是一个直接警示。该漏洞存在于两个二进制文件被悄悄替换的 RPC 节点中。任何运行参与跨链验证的基础设施（DVN、预言机节点、定序器）的人，无论是否自愿，现在都是安全模型的一部分。可复现构建、经过认证的二进制文件、高于 1-of-1 默认配置的多运营商法定人数，以及启动时的签名二进制验证，都不再是可选的。

链级升级——Ethereum 上的 Pectra 和 Fusaka，Solana 和 Aptos 上的并行执行推广，Glamsterdam 的吞吐量目标——将继续扩大暴露面。能够在 2026 年幸存下来的协议和基础设施运营商，将是那些尽早采用持续验证的人，使得他们的下一次常规升级同时也成为下一次可证明的安全检查点。

BlockEden.xyz 在 Sui、Aptos、Ethereum、Solana 和其他十几个链上运行生产级 RPC、索引器和节点基础设施。我们将每一次协议升级（无论是在链层还是应用层）都视为一次新的安全事件，而非维护任务。探索我们的企业级基础设施，在旨在应对未来升级节奏的基石上进行构建。

来源​

• 加密货币 4 月 6.06 亿美元的噩梦：12 起黑客攻击，18 天，自 Bybit 劫案以来最糟糕的一月 — CryptoTimes
• 损失 6.06 亿美元：2026 年 4 月成为加密漏洞利用最严重的一月 — Blockonomi
• Kelp DAO 被利用损失 2.92 亿美元，包装以太坊滞留在 20 条链上 — CoinDesk
• LayerZero 将 2.9 亿美元的漏洞利用归咎于 Kelp 的设置，并将其归于朝鲜 Lazarus 组织 — CoinDesk
• Drift Protocol 黑客攻击：特权访问如何导致 2.85 亿美元的损失 — Chainalysis
• Drift 攻击者如何利用为方便而设计的 Solana 功能窃取超过 2.7 亿美元 — CoinDesk
• 朝鲜黑客攻击 Drift Protocol，实施 2.85 亿美元劫案 — TRM Labs
• 2026 年第一季度 DeFi 漏洞利用模式分析：损失 1.37 亿美元，每个审计员都必须了解的 5 种攻击模式 — DEV Community
• 2026 年 OWASP 智能合约十大安全漏洞 — DEV Community
• Aave-Certora-Secureum：DeFi 安全协作 — Secureum
• 以太坊基金会为智能合约开发者资助 100 万美元审计计划
• 可升级智能合约：代理、模式、陷阱和 CI/CD 安全保障 — Octane Security
• 2.92 亿美元 Kelp DAO rsETH 黑客攻击引发 Aave 流动性危机 — CCN
• 2026 年 DeFi 漏洞利用损失超过 4 亿美元 — CCN

百分之九十二的安全专业人士对组织内部的 AI 代理感到担忧。在这些组织中，仅有 37% 制定了正式的 AI 政策。这 55 个百分点的差距是 2026 年每份董事会简报的开场白 —— 而这正是 ERC-8220 试图在链上解决的核心问题。

2026 年 4 月 7 日，一份草案提交至 Ethereum Magicians 论坛，提议制定 ERC-8220：带有不可变印封模式的链上 AI 治理标准接口。这是一小群核心开发者开始称之为“代理化以太坊栈”（agentic Ethereum stack）的第四块砖石：身份（ERC-8004）、商业（ERC-8183）、执行（ERC-8211）以及现在的治理。如果它在 Glamsterdam 分叉之前达到 Final（最终）状态，它对自主代理的作用可能就像 ERC-20 之于同质化代币一样 —— 将混乱的设计空间转化为可组合的原语。

该提案的核心思想是“不可变印封”（immutable seal）。ERC-8220 中的其他所有内容都源于此。印封设计正确，其他三个标准突然就有了立足之本。印封设计错误，整个代理栈就会继承一种无声的失败模式。

2026 年 4 月 18 日 KelpDAO 每被盗走 1 美元，DeFi 领域就有另外 45 美元随之流出。这就是事后复盘报告不断提到的比率 —— 一场 2.92 亿美元的漏洞利用在两天内引发了 130-140 亿美元的 TVL 大流出，将整个 DeFi 板块的总锁仓价值推至一年来的最低点，并让越来越多的机构买方确信，“蓝筹 DeFi” 根本不是什么基础设施，而是一个在首次关联冲击下就会撕裂的反身性流动性薄膜。

攻击本身仅持续了几分钟，但其余波仍在重塑开发者、审计师和资金分配者对跨链信任的思考方式。如果 LayerZero 的初步归因成立，那么在 18 天前从 Drift Protocol 窃取 2.85 亿美元的同一支朝鲜黑客部队，刚刚又在其 2026 年的战利品中增加了 2.92 亿美元 —— 使 Lazarus 组织在 4 月份通过两种结构完全不同的攻击向量确认的获利总额超过了 5.75 亿美元。

将 USB 线插入 Nothing CMF Phone 1。等待 45 秒。带走设备上每个热钱包的助记词。

这不是一个理论上的威胁模型。这是 Ledger 的 Donjon 研究团队于 2026 年 3 月 11 日发布的实测演示，目标是联发科 (MediaTek) 的天玑 7300 (Dimensity 7300, MT6878) —— 这是一款采用 4nm 工艺的片上系统 (SoC)，广泛应用于全球约四分之一的安卓手机中，也是 Solana 旗舰手机 Seeker 所采用的芯片。该漏洞存在于芯片的引导 ROM (boot ROM) 中，即在安卓系统加载前运行的只读代码。它无法被修复，也无法通过操作系统更新来缓解。唯一的解决办法是更换新芯片。

对于数千万将智能手机视为加密钱包的信任用户来说，这一刻“移动优先的自托管”叙事与硅片的物理特性发生了碰撞。