区块链安全公司 Blockaid 周一发布报告称，2026 年被盗加密资产中，仍有 2.871 亿美元存放在调查人员可以监控、但无法冻结的钱包中。
该公司统计了 2026 年 1 月至 8 月的 60 起重大链上攻击事件，称这些事件合计造成 11.8 亿美元被盗资金。截至报告统计截止日 9 月 2 日，按 Blockaid 的口径，仅有 980 万美元、即 0.8%，已经返还给受害者；另有 8140 万美元被冻结，但尚未交还。60 起事件中，只有 5 起出现了资金被冻结或追回的情况。
攻击后资金转移窗口很短
Blockaid 对其中 59 起事件统计了攻击者在得手后转移资金的速度，得出的中位时间为 17 分钟。
在这 59 起事件中，40 起（68%）的资金在 1 小时内被转走，13 起（22%）发生在最初 1 分钟内。
Blockaid 联合创始人兼 CEO Ido Ben-Natan 在随报告发布的声明中表示：「17 分钟对于任何安全团队来说都短得惊人，要在这段时间里发现攻击、识别资金去向并协调响应，难度极高。」
2.871 亿美元可见但难以触及
报告称，这 2.871 亿美元分布在 16 起事件中。其中大部分以没有中心化发行方、无法针对特定地址阻止转账的资产形式存在，例如 ETH、比特币、封装代币以及流动性质押代币。
其中约 2.29 亿美元与 4 月发生的 Drift 攻击事件有关。Blockaid 表示，截至 9 月 2 日，攻击者控制的 3 个地址中大约持有 107,165 枚 ETH。
该公司补充称，如果这些资金被转入交易所，或被换成可冻结资产，相关方就可能获得干预机会；但如果资金经由混币器转移，追回难度会大幅上升。
冻结和追回主要依赖协议侧控制
在已被冻结或返还的 9120 万美元中，按 Blockaid 统计，有 9040 万美元、即 99.1%，是通过协议、治理机构或验证者掌握的控制权实现的。
这部分金额包括 Arbitrum 安全委员会冻结的约 7100 万美元，相关资金与 Kelp DAO 攻击事件有关。
Blockaid 还将 Syscoin 的约 900 万美元计入其中，该事件中未经授权发行的代币已被销毁；另有约 690 万美元是在 Blend 攻击事件后由 Stellar 验证者隔离。
Blockaid 的建议
Blockaid 主要提供区块链交易筛查工具。该公司建议，协议和机构应提前明确谁有权冻结资金、需要哪些证据，并持续监控已受损地址。
Ben-Natan 在声明中还表示，相关组织需要在资金被盗之前就拦截危险交易。
