根据CertiK披露的链上数据，2025年加密行业因黑客攻击造成的损失达到33亿美元。从全年情况来看，虽然安全事件总数较前一年减少了162起，但攻击带来的破坏程度并未减弱，反而呈现出更高金额、更强针对性和更复杂路径的特征。这意味着行业在协议层防御方面可能有所提升，但攻击者也正在将目标转向更具系统性影响的薄弱环节。
供应链漏洞成全年最致命风险
从损失结构看，供应链漏洞成为2025年最具破坏性的攻击来源。数据显示，仅两起重大安全事件就合计造成了14.5亿美元损失，占全年总损失的相当大比例。与传统的智能合约漏洞或单点系统缺陷相比，供应链攻击往往波及范围更广，一旦核心依赖、基础设施组件或关键服务提供商被攻破，影响可能迅速传导至多个协议、平台和用户资产层面。
这一趋势反映出，加密行业的安全边界已不再局限于链上合约代码本身。随着交易平台、钱包服务、跨链工具、开发框架及第三方基础设施之间的依赖关系日益复杂，攻击者更倾向于寻找“上游入口”，以较低成本撬动更大规模的资产暴露。对于市场参与者而言，这类风险的隐蔽性和连锁性通常高于一般漏洞攻击，防范难度也随之提升。
攻击次数下降，但单次损失显著上升
尽管全年攻击事件数量下降，CertiK数据同时显示，单次攻击平均损失同比上升66%，达到530万美元。这一变化说明，攻击者正在减少低效率、分散式的尝试，转而聚焦少数高回报目标。换句话说，行业看到的并非风险减轻，而是攻击模式从“广撒网”转向“精准打击”。
这种变化也可被视为加密安全格局的一次重塑：一方面，协议层面的代码审计、漏洞监控和权限管理可能确实降低了一部分常规攻击事件；另一方面，黑客组织开始更多利用基础设施依赖、权限链条和人为操作漏洞，通过更少的事件制造更大的财务影响。对项目方来说，衡量安全水平已不能只看攻击次数，还要关注单次事故的潜在损失上限。
钓鱼诈骗升至第二大威胁
除基础设施层面的风险外，钓鱼诈骗已成为2025年第二大安全威胁。数据显示，相关事件共发生248起，累计造成7.22亿美元损失。相较于技术性漏洞利用，钓鱼攻击往往更多依赖社交工程手段，包括伪装网站、虚假链接、假冒客服、伪造签名请求等，目标直指普通用户和资产管理流程中的人为薄弱点。
钓鱼诈骗高发，说明即便协议和平台的底层防线有所加强，用户侧安全教育和交互体验设计仍然存在明显短板。特别是在多链钱包、授权签名、空投活动和社群传播高度活跃的环境中，用户往往难以及时识别欺诈页面或恶意请求，这使得社交工程攻击持续具备高成功率。
市场影响：安全焦点从合约代码转向系统治理
从市场层面看，2025年的数据传递出一个清晰信号：加密行业的安全竞争，正在从单纯的智能合约审计，转向更全面的系统治理能力建设。供应链漏洞与钓鱼诈骗同时抬头，意味着项目方不仅要关注代码本身，还必须加强第三方依赖审查、访问权限管理、员工与社区安全培训，以及用户交互界面的风险提示机制。
对于投资者而言，这类趋势可能影响市场对不同项目的估值逻辑。未来，具备成熟安全架构、透明风险管理机制和完善应急预案的平台，可能更容易获得资金与用户信任。相反，那些过度依赖外部组件、缺乏安全响应能力或用户保护机制薄弱的项目，或将在风险事件发生后面临更大的信任折价。
此外，部分山寨币及新兴项目可能面临更高压力。原始数据提到，随着攻击者将重心转向基础设施层和社交工程手段，市场关注度较高但安全投入有限的资产类别，未来可能更容易成为攻击入口或舆论风险放大器。尤其在行情升温阶段，用户活跃度增加、资金快速流动，往往也会同步放大钓鱼和权限滥用等风险。
行业启示：事件减少不等于风险降低
总体来看，33亿美元的年度损失规模再次提醒市场，加密安全仍处于高压状态。虽然攻击事件数下降162起，但平均损失升高、重大事件集中爆发、供应链与钓鱼攻击加速抬头，都表明行业风险只是发生了迁移，而非真正消退。
接下来，市场可能会更加重视跨层级安全防御，包括基础设施供应商审查、权限最小化管理、用户签名风险识别以及更高频率的安全演练。对于整个加密生态而言，如何在产品扩张、用户增长和系统复杂化之间维持安全韧性，将成为决定下一阶段行业质量的重要指标。