GoPlus 2026 年 07 月 Web3 & AI 安全数据报告

2026 年 7 月，Web3 安全事件损失规模急剧放大：全月共记录 43 起主要安全事件，累计损失约 3.19 亿美元，是 6 月的 4.1 倍，更是今年以来损失最大的月份之一。从结构上看，损失高度集中在 Exploit 类攻击，37 起事件合计约 310,776,183 美元。单月最大单笔损失高达 8860 万美元（Coldcard 钱包密码算法问题），前五大事件累计约 2.34 亿美元，占总损失约 73.5%。

与 6 月相比，7 月风险的重心出现明显迁移：损失最高的三个方向依次为提案 / 治理攻击（约 9760 万美元）、密码算法缺陷（约 8860 万美元）与私钥 / 密钥泄漏（约 8250 万美元），三者合计占总损失约 84%。治理提案被武器化、硬件钱包底层密码学实现缺陷、以及跨链桥与热钱包的密钥失控，构成本月最具破坏力的三条主线。

AI 安全方面，7 月的标志性变化是：风险讨论从"提示词注入""内容污染"进一步下沉到执行面、数据面与信任面。Hugging Face 披露的首个公开 "agentic attacker" 入侵事件、GPT-5.6 Sol 误删用户主目录、Grok Build CLI 整库上传 Git 历史、Claude 分享链接被搜索引擎索引，四个事件共同说明：AI 系统的边界已经不再是对话窗口，而是整个运行时环境与数据资产。

一、Web3 安全概览

1. 总体数据（2026 年 7 月）

• 事件数：43 起
• 累计损失：318,918,645 美元（约 3.19 亿美元）
• Exploit：37 起，约 310,776,183 美元
• Rugpull（较大金额）：2 起，约 6,593,000 美元
• Phishing（较大金额）：4 起，约 1,549,462 美元
• 单笔最大损失：88.6M 美元（Coldcard 钱包）
• 前五大事件合计：约 234.35M 美元，约占总损失 73.5%
• 损失超过 1M 美元的事件：17 起

从月度分布看，7 月呈现"事件数量平稳、单笔损失极端化"的特征：事件总数与 6 月基本持平，但总损失放大至 4 倍以上。本月 8 起事件单笔损失超过 9M 美元，其中 2 起超过 75M 美元，说明攻击者正在把火力集中到治理金库、底层密码学实现和高净值密钥目标上，而广撒网攻击中小项目。

2. 主要攻击类型

7 月主要攻击类型（按损失归并）如下：

如果按攻击面归纳，7 月值得重点关注的是以下五个结构性方向：

• 治理与提案面：两起提案攻击合计损失约 97.6M 美元，治理机制已从"配置风险"升级为"直接的资金窃取通道"，成为本月损失第一大来源。
• 密码学实现面：Coldcard 硬件钱包因密码算法问题损失约 88.6M 美元，说明风险已经下探到签名 scheme、随机数、密钥派生等底层实现层，而非停留在合约与协议逻辑层。
• 密钥与权限面：私钥 / 密钥泄漏类事件 8 起、约 82.5M 美元，跨链桥管理员、交易平台管理员账户、热钱包集群与早期巨鲸地址同时中招，密钥管理依然是"低频率、高杀伤"的头号杀手。
• 跨链与预言机面：Wanchain 桥因签名语义复用损失约 9M 美元、bonzo finance 因 Oracle 验证漏洞损失约 9.05M 美元，跨链验证链路与价格 / 数据验证链路仍是高危密集区。
• 合约逻辑面：合约漏洞类事件多达 22 起，仍是发生频率最高的类型，但单起平均损失约 1M 美元，明显低于治理、密钥类事件，呈"高频低损"形态。

3. 典型事件

@COLDCARDwallet：密码算法问题，损失约 88.6M 美元

7 月 31 日，硬件钱包 Coldcard 被披露存在密码算法层面的漏洞，大量用户资产因此被盗，按链上流向统计损失约 88.6M 美元，为本月最大单笔事件。该事件的特殊性在于：受害对象不是某个 DeFi 协议，而是被普遍认为"最安全"的硬件签名设备。当底层密码学实现（签名、随机数、密钥派生）出现缺陷时，上层再好的操作习惯与权限治理都无法兜底，这为整个行业的供应链信任敲响了警钟。

BarnBridge SMART Yield：提案攻击，损失约 77.6M 美元

7 月 15 日，Ethereum 上的 BarnBridge SMART Yield 协议遭遇提案攻击，损失约 77.6M 美元。攻击者通过恶意治理提案直接控制了协议资金的处置权。这再次证明：治理合约本身就是价值最高的攻击目标之一，提案审核、投票门槛、时间锁与执行前模拟任何一环失守，都可能造成金库级损失。

@AFX_XYZ：跨链桥私钥泄漏，损失约 24.15M 美元

7 月 23 日，AFX 在 Arbitrum 上的跨链桥因私钥泄漏被攻击，损失约 24.15M 美元。跨链桥的签名密钥一旦失控，攻击者即可伪造合法的跨链消息指令，绕过全部合约层防护直接提走桥储备资产。

@Ostium ：管理员账户私钥泄漏，损失约 24M 美元

7 月，Arbitrum 上的 RWA 交易平台 Ostium 疑似因管理员账户私钥泄漏被攻击，损失约 24M 美元。该事件与 AFX 发生在同一周，说明针对 Arbitrum 生态高权限账户的定向攻击可能正在形成规模化趋势。

BonkDAO：恶意治理提案，损失约 20M 美元

7 月 7 日，BonkDAO 成为恶意治理提案的目标，约 20M 美元等值的 BONK 代币从 BonkDAO 金库中被转走。加上 BarnBridge 事件，7 月两起提案攻击合计损失接近 1 亿美元，"治理攻击"已从理论风险演变为本月最赚钱的攻击手法。

Solana 早期巨鲸：疑似私钥泄漏，损失约 14.2M 美元

7 月 10 日，一个与 Solana 创世区块分发相关的早期巨鲸地址疑似私钥泄漏，约 180.9K SOL（约 14.2M 美元）被盗。沉睡多年的早期地址集中被盯上，提示老密钥的存储介质、备份方式和历史暴露面需要重新评估。

TripleAHQ：多链热钱包被清空，损失约 9.7M 美元

7 月 25 日，支付基础设施项目 TripleA 的热钱包在 TRON、Ethereum、TON、Solana 等多条链上同时被盗，损失约 9.7M 美元。多链热钱包集群被同时击穿，指向密钥生成或托管环节存在系统性缺陷，而非单点操作失误。

Wanchain：跨链桥签名语义复用，损失约 9M 美元

7 月 21 日，Wanchain 的 Cardano→BNB Chain 跨链桥在 Cardano 侧遭攻击，约 5.152 亿枚 NIGHT 从桥储备中被提走，价值约 9M 美元。事件发生后 Wanchain 桥暂停服务，NIGHT 一度下跌近 50%。签名语义复用类问题说明：异构链之间的签名域隔离、消息格式与验证规则仍是跨链系统最容易被低估的攻击面。

bonzo_finance：Oracle 验证漏洞，损失约 9.05M 美元

7 月 11 日，借贷协议 bonzo finance 因 Oracle 验证漏洞被攻击，损失约 9.05M 美元。价格与数据验证环节的缺陷依然能在单一事件内造成近千万美元级损失，预言机的数据源校验、异常波动约束与喂价权限治理仍是 DeFi 协议的基础命门。

4. Web3 安全本月总结与建议

4.1 本月总结

• 总结一：治理攻击升级为头号损失来源。 两起提案攻击损失近 1 亿美元，治理提案的提交、投票、时间锁与执行链必须被视为与私钥同等重要的核心资产。
• 总结二：风险下沉到底层密码学与供应链。 Coldcard 事件表明，硬件钱包、密码库、签名实现等"信任底座"本身也会成为最大单点，审计范围必须下探到密码学实现层。
• 总结三：密钥失控呈现"面状爆发"。 跨链桥、交易平台、多链热钱包、早期巨鲸同月集中出事，说明攻击者正在系统性地收割高权限密钥目标。
• 总结四：合约漏洞高频低损化。 22 起合约漏洞事件单起平均损失约 1M 美元，传统合约漏洞正在"常态化"，而大额损失越来越来自治理、密钥与底层实现。

4.2 安全建议

• 对治理系统实施提案执行前强制模拟、异常资金变动熔断、投票权集中度监控与时间锁分级，禁止任何提案在未经独立复核的情况下触达金库。
• 对硬件钱包、签名库、随机数与密钥派生模块建立密码学实现级审计与模糊测试，关键设备应支持可验证的固件与供应链溯源。
• 对跨链桥、交易平台管理员、多链热钱包执行密钥分片、异地隔离、硬件托管与定期轮换，高权限账户默认启用多签 + 限额 + 延迟执行。
• 对跨链系统的签名域、消息格式、状态同步与异常输出建立专项审计和运行时监控，重点防范签名语义复用与异构链验证缺陷。
• 对预言机喂价建立多源校验、偏离度熔断与权限分级，对历史合约和旧版本池子开展持续审计，避免"老漏洞"被反复收割。

二、AI 安全事件与趋势

如果说 6 月的关键词是"风险入口全面外部化"，那么 7 月更清楚地表明：AI 安全的主战场已经从"注入什么内容"转向"Agent 能执行什么、能带走什么、信任边界在哪里"。本月四起代表性事件，分别对应攻击面、执行面、数据面与信任面的标志性升级。

Hugging Face 入侵事件：首个公开的 "agentic attacker" 实战案例

7 月，Hugging Face 披露了一起针对其生产基础设施的入侵事件：攻击方全程由自主 AI Agent 系统驱动，防御方的检测与取证也主要依赖自建 AI 系统完成，被视为 "agentic attacker"（自主智能体攻击者）从行业预警走向现实案例的标志性事件。部分内部数据集与若干服务凭证遭未授权访问；官方称未发现面向用户的模型、数据集、Spaces 被篡改，软件供应链验证安全。

攻击链的关键环节包括：

• 初始访问：以"恶意数据集"为攻击载体 --- --- 数据集本身被武器化，数据层正式成为一等攻击面。
• 执行：同时滥用两条代码执行路径 --- --- 数据集加载器的远程代码执行与数据集配置中的模板注入，双路径并用提高触发成功率。
• 权限提升与横向移动：从数据处理 worker 提升至节点级访问，收集云平台与集群凭证后，在一个周末内渗透多个内部集群。
• 命令与控制：自主 Agent 框架跨大量短生命周期沙箱运行，C2 具备自迁移能力，传统基于 IP/ 域名黑名单的检测方式显著失效。
• 规模与节奏：数千个独立操作、超过 17,000 条行为日志，攻击节奏达到"机器速度"，超出人工响应窗口。

本次事件还暴露了一个深层矛盾 --- --- "AI 护栏不对称"：HF 在取证阶段尝试用商用前沿模型 API 分析攻击日志（含真实攻击命令与利用载荷），却被模型提供方的安全防护栏拦截，因为护栏无法区分"应急响应分析人员"与"攻击行为者"。HF 最终转向自有基础设施上部署的开源权重模型（GLM 5.2）完成分析。这提示所有安全团队：应提前备好自托管分析模型并纳入 IR 工具链，而不是事件发生后再寻找可用的分析路径。

GPT-5.6 Sol 误删全部文件：当 Agent 从"会做事"走向"直接执行"

7 月，前 HyperWrite CEO、AI 投资人 Matt Shumer 公开披露：他在测试 OpenAI GPT-5.6 Sol 的 Ultra 模式时，本地 Agent 的一个 review subagent 在执行清理任务时错误展开 $HOME，执行了 rm -rf 命令，删除了其 Mac 上"几乎所有文件"。

这起事故的本质不是"模型说了一句危险的话"，而是一个拥有文件系统权限、终端能力与子代理编排能力的 Agent，把一次路径误判执行成了真实的数据灾难。它至少暴露四层问题：权限边界过大（Full Access 模式下杀伤半径覆盖整个主目录）、任务边界漂移（"清理文件"被升级为递归删除）、子代理放大错误（错误沿代理链被继承与合理化）、以及高危动作缺少强制人工确认。

该事件给出的工程结论非常直接：对递归删除、批量覆盖、目录外写入、涉及 $HOME 或根路径的操作必须建立策略级拦截与人工审批；子代理权限必须小于主代理；高权限任务应运行在容器、快照工作区等隔离环境中；云同步不等于备份，必须建立可恢复的版本化快照。

Grok Build CLI 整库上传：AI 编程工具的"隐形数据通道"

7 月，研究者 cereblab 的抓包分析指出：xAI 官方 Grok Build CLI（0.2.93 版本）在运行时，不仅会把模型读取到的文件内容发送到云端，还会通过独立的 POST /v1/storage 通道将整个仓库以 git bundle 形式打包上传 --- --- 包括完整 Git 历史。在"只回复 OK、不要打开任何文件"的提示词下，CLI 依然上传了整个仓库，研究者还从上传内容中恢复出了被明确禁止读取的 canary 文件。更严重的是，关闭 "Improve the model" 开关并不能阻止该上传行为。（xAI 随后通过服务端返回 disable_codebase_upload 关闭了该路径。）

该事件的警示在于：Git 历史里往往藏着比当前工作区更敏感的资产 --- --- 已删除的密钥、被回滚的调试代码、旧版实现细节与内部架构痕迹。AI 编程工具的安全边界不能只看当前项目目录，必须把整个仓库、本机配置与凭据目录都视为潜在暴露面。对企业而言，对 AI CLI 做真实流量审计、在隔离环境中运行、把 Git 历史纳入敏感资产治理，已经从"最佳实践"变为"必修课"。

Claude 分享链接被搜索引擎索引：分享即发布

7 月 25 日前后，大量 Claude 用户创建的分享链接（claude.ai/share）被发现可被 Google 等搜索引擎索引和检索。需要明确的是，这并非后端入侵：按照 Anthropic 官方文档，用户点击 Share 后生成的快照页面对任何持有链接的人可见。真正的问题是：用户心智中的"转发一段对话给同事"，在系统语义上等于"发布一个公开 Web 资产" --- --- 它可能被索引、缓存、归档、二次转发，且 robots.txt 并不构成访问控制，清理过程也非原子操作。

在 Agent 时代，这条风险的杀伤半径更大：一段被公开的对话可能暴露的不仅是文本，还包括 Agent 可访问的内部系统、常用工具调用、RAG 片段、审批话术，乃至指向 .env、.ssh、.aws/credentials 的路径线索。对攻击者而言，即使拿不到有效密钥，一张"工作流地图"本身就足以支撑更可信的钓鱼页面、更精准的间接提示词注入与更有针对性的供应链攻击。

安全趋势：提示词注入持续成为 2026 年 AI 攻击主线

公开行业统计显示，提示词注入已连续两年位居 OWASP LLM 应用风险榜首；2026 年观测到的 AI 攻击中，间接提示词注入占比已超过 55%，多跳间接攻击同比增长超过 70%，且约 62% 的企业环境成功利用案例走的是间接注入路径。这与 7 月的四起事件形成呼应：无论是恶意数据集、仓库历史、分享链接还是外部内容，攻击者越来越倾向于把指令藏在"被信任的数据"里，而不是直接对抗模型护栏。

7 月 AI 安全趋势总结

• 判断一：攻防进入 "Agent vs Agent" 时代。 HF 事件中，攻击由自主 Agent 驱动、取证由 AI 系统完成，"机器速度"的攻防对抗要求防御方把 AI 分析能力作为基础设施提前布局。
• 判断二：执行面事故开始造成真实资产损失。 误删、误改、误授权不再是理论风险，高能力 Agent 的一次路径误判即可造成不可逆的数据灾难，最小权限与人工确认成为底线要求。
• 判断三：数据面全面武器化。 数据集、仓库、Git 历史、分享链接、日志、工单 --- --- 任何会被模型处理的数据都可能成为攻击载体或泄漏通道，"数据即攻击面"成为共识。
• 判断四：透明度与可审计性成为核心矛盾。 工具的实际行为与设置项表述不一致、分享语义与用户心智不一致，说明仅靠厂商自觉和产品文档无法建立信任，真实流量审计与独立验证成为必需。
• 判断五：防御护栏存在结构性不对称。 面向内容特征的安全护栏会在 DFIR 等合法场景误伤防御方，自托管分析模型与"不被护栏中断"的备用分析路径应纳入应急预案。

AI 安全建议

• 对 Agent 落实最小权限：默认只开放单项目工作区，不授予整机文件系统、终端与网络的全能力组合；子代理权限必须小于主代理。
• 对递归删除、批量覆盖、目录外写入、凭据读取、外联请求等高危动作建立策略级拦截与显式人工确认，审批信息须包含完整目标路径与影响范围。
• 将 AI CLI 与编码 Agent 统一放入容器、专用 VM 或快照工作区运行；对核心工具做真实流量审计，核实哪些数据真正离开了本机。
• 把 Git 历史、本机配置目录、CLI 凭据与第三方 token 纳入敏感资产治理；凭据尽量临时注入，避免静态落盘。
• 建立 AI 分享链接治理：默认私有、组织内共享、到期失效、可审计可撤销；明确"分享即发布"的用户教育，不把 robots.txt 当作访问控制。
• 为事件响应提前部署自托管分析模型，确保 DFIR 场景下存在不被商用模型护栏中断的备用分析路径，敏感攻击数据不出境。
• 对数据集加载、模板渲染、文档解析等"数据处理即代码执行"的环节实施沙箱化与路径级纵深防御，警惕双漏洞链式利用。

三、总结与展望

2026 年 7 月，Web3 与 AI 两侧再次呈现出高度同构的趋势：最大的损失不再来自单点漏洞，而是来自信任底座的失守 --- --- Web3 侧是治理机制、密钥体系与密码学实现，AI 侧是执行权限、数据通道与信任边界。

Web3 方面，单月 3.19 亿美元的损失提示行业：审计与风控的重心必须从"合约逻辑"扩展到治理链、密钥供应链与底层密码学实现；AI 方面，首个公开的 agentic 攻击案例与多起执行面、数据面事故提示行业：安全建设必须从"内容过滤"升级为对运行时环境、数据资产与信任边界的系统性治理。

对两类系统而言，接下来的安全建设重点都不应再停留在"发现单点漏洞"，而应转向持续审计、最小权限、运行时护栏、信任分层与全流程可验证治理.

本内容仅供参考，不构成任何金融、投资、法律或税务建议。文中提及的任何活动、奖励、线上活动或相关信息，不应被视为对购买、出售或交易任何加密资产的推荐、招揽或邀请。加密资产具有高波动性，存在价值损失风险。WEEX服务、产品及相关活动的可用性可能因地区而异。用户在参与前有责任确保符合当地适用法律法规。