零时科技援引多家区块链安全监测平台统计称，2026年9月，加密货币领域安全事件呈现出交易所后端与底层基础设施成为新攻击重点的特征。当月因安全事件造成的资金流出规模约为 7.3 亿美元，其中 Bitget 热钱包后端系统操纵攻击造成约 3.875 亿美元损失，Liquid Network 验证软件漏洞攻击造成约 3.19 亿美元损失，两起事件合计占当月总损失的 95% 以上，令 9 月成为 2026 年以来损失最高的月份。
报告同时说明，7.3 亿美元对应的是事件报告口径下的资金流出规模，并不等同于最终无法追回的净损失。Liquid Network 事件中，攻击者已归还约 85% 被盗资金，约合 2.72 亿美元，目前仍有约 4700 万美元未返还。
攻击方式从合约层转向基础设施层
从 9 月披露的案例看，攻击手法已不再局限于智能合约漏洞，交易所后端系统操纵、验证软件漏洞、治理提案操纵、预言机价格操纵、跨链桥余额清空以及 DEX 流动性池攻击同时出现，攻击目标正加速向基础设施层转移。
6 起典型黑客攻击事件
Bitget 热钱包后端系统操纵攻击
时间为 9 月 25 日，损失金额约 3.875 亿美元。报告称，攻击者利用第三方安全产品的零日漏洞获取高权限内部凭证，伪造提现指令并绕过风控校验，从 Bitget 热钱包和温钱包基础设施中转移约 3.875 亿美元资产，涉及 Ethereum、XRP、BSC、Arbitrum、Avalanche 等多条链。
Bitget 表示，私钥未泄露，冷钱包未受影响，所有用户余额不受损失，相关损失由超过 4.64 亿美元的用户保护基金覆盖。平台已隔离受影响系统、重置内部凭证，并联合多家安全机构展开调查和链上追踪。
Liquid Network 验证软件漏洞攻击
时间为 9 月 6 日，损失金额约 3.19 亿美元。攻击者利用 Liquid Network 验证软件 Elements 中的范围证明缓存碰撞漏洞，在没有真实资产背书的情况下铸造约 4000 枚 L-BTC，随后通过 SideSwap 的 peg-out 机制赎回真实比特币。
根据报告，自称白帽的攻击者通过链上消息与 Blockstream 谈判，在漏洞修复后归还约 3400 枚 BTC，约占被盗资金的 85%。目前仍有约 598.5 枚 BTC 未归还，按报告口径约合 4700 万美元。
Neutron 治理提案操纵攻击
事件发生在 9 月 22 日，损失约 440 万美元。攻击者仅花费约 20,199 USDC 买入约 3160 万枚 NTRN，并在投票结束前约 12 分钟完成质押，使一项恶意治理提案以约 82% 的支持率通过。随后，攻击者获得 11 个合约的管理权限，并将相关合约迁移至恶意代码，最终盗走约 440 万美元资产。
事发后，Cosmos Hub 验证者协调暂停网络约 25 小时，并从攻击者关联地址转移约 123 万枚 ATOM 以进行资产追回。
Duelbits 平台热钱包私钥泄露攻击
时间为 9 月 24 日，损失约 700 万美元。报告称，加密博彩平台 Duelbits 的热钱包遭攻击，疑似由私钥泄露导致，而非智能合约漏洞。攻击者直接获取热钱包控制权，将约 836 枚 ETH、162 万枚 USDT、9.7 万枚 USDC、3.15 万枚 DAI、124 亿枚 SHIB 及 8.1 枚 BTC 转移至新地址，随后将大部分资产兑换为 ETH 并集中至单一地址。
Duelbits 联合创始人确认损失约 700 万美元，并表示用户资金安全，平台将保持离线直至调查结束并补充热钱包资金。
Nostra 预言机价格操纵攻击
事件发生在 9 月 17 日，损失约 350 万美元。攻击者通过创建虚假流动性池并配合刷量交易，将 NSTR 代币报价从约 0.006 美元推高至约 49.5 美元，涨幅接近 8000 倍。由于 Nostra 借贷协议依赖第三方价格源读取该池报价，攻击者以被严重高估的 NSTR 作为抵押品，从 Starknet 货币市场借出约 350 万美元的 ETH、STRK、USDC、USDT、WBTC 和 DAI。
随后，攻击者将约 192 万美元被盗资产跨链转移至以太坊，其中包括 234.57 枚 ETH 和 130 万枚 DAI。Nostra 在事件发生后暂停了借贷、提款及清算功能。
Payy Network 跨链桥漏洞攻击
时间为 9 月 24 日 4:21 UTC，损失约 183 万美元。Payy Network 的以太坊跨链桥遭到攻击，攻击者将桥内全部余额、约 180 万美元的 USDC 转出，随后通过隐私协议 Railgun 为行动提供资金掩护，并将 USDC 兑换为 ETH。
报告称，Payy Network 是一个提供链上薪资和金库服务的 rollup 项目。项目方确认，损失资金为用户存入的非托管资产，但尚未披露漏洞的具体原因。攻击发生后，项目暂停了所有运营。
Rug Pull 与钓鱼诈骗案例
报告还列出 5 起典型 Rug Pull 与钓鱼诈骗事件。
- 9 月 16 日，以太坊上一名 0xe268 开头地址的受害者签署钓鱼签名后，损失价值 565,768 美元的 sUSDat。
- 9 月 25 日，有用户在以太坊上遭遇地址投毒攻击，损失价值 67,572 美元的 USDT。报告列出的正确地址为 0xca16b299700674dda6941baa1bdeeff6d90fd94b，错误地址为 0xca166632d25ea74baa93a5303aa73f61e80fd94b。
- 9 月 26 日，有人在 XRP Ledger 上签署一笔钓鱼交易，损失价值 37,927 美元的 XRP，受害者地址为 rGtghKcmYY8gdUQwQerY5Ruww2LvdbgWVh。
- 9 月 27 日披露的 DYORSWAP 假主网钓鱼事件中，诈骗团伙搭建 GIWA 假主网，在 DYORSWAP 集成虚假跨链 RPC，诱导用户将 ETH 转入虚假桥合约，累计盗走约 200 万美元。GIWA 官方表示主网尚未上线，DEX 项目方已启动资金补偿。
- 9 月，Trezor 使用的邮件服务商 Brevo 遭到攻击。攻击者获取部分客户联系数据后，向约 34.7 万名 Trezor 用户发送仿冒官方安全警告的钓鱼邮件，诱导用户下载恶意程序并输入钱包备份密码。报告指出，这起事件并非直接攻击钱包，而是先攻破钱包厂商的上游服务商，再利用获取的用户信息实施精准钓鱼。
Robinhood Chain 系列 Meme 币 Rug Pull
这起事件的时间跨度为 7 月 10 日至 9 月 21 日，于 9 月 27 日披露，损失金额至少 1843 万美元。链上分析显示，同一操作团伙疑似关联某链上至少 53 个 Meme 币发行项目。该团队通过大量关联钱包在代币上线初期集中获取 70% 以上的代币供应，借助项目热度吸引散户参与后集中抛售套现；部分项目内部钱包甚至控制了 82% 至 86% 的代币供应。
调查显示，前一个项目套现所得会被用于启动下一个项目，形成「发行—集中控盘—吸引买盘—抛售套现—继续发行」的循环模式，累计抽取资金至少约 1843 万美元。
9 月安全事件反映出的变化
报告认为，2026 年 9 月，攻击目标从智能合约漏洞向更底层基础设施转移的趋势更加明确。除 Bitget 与 Liquid Network 两起头部事件外，FastSwap 流动性池被闪电攻击、Nostra 预言机被 8000 倍虚假报价操纵、Payy Network 跨链桥余额被清空、Duelbits 热钱包私钥泄露，都指向同一变化：攻击者正在系统性寻找基础设施层面的薄弱环节，而不是直接攻破合约代码。
报告还提到，「系统被信任」本身已成为新的攻击面。Bitget 事件中，攻击者利用第三方安全产品的零日漏洞获取内部凭证，伪造提现指令并绕过风控，全程未触碰私钥。Liquid Network 事件则显示，验证软件层面的缺陷同样可能撬动数亿美元资产。
零时科技给出的安全建议
零时科技安全团队给出三方面建议：
- 个人用户：警惕 AI 工具推荐的加密链接，始终通过官方渠道访问；不要签署「无限授权」交易，并定期清理授权。
- 项目方：对治理提案设置更高门槛和延迟执行机制；对验证软件和缓存机制进行专项安全审计；交易所应重点审查后端授权系统的数据完整性校验；DEX 应加强流动性池异常交易监控。
- 行业层面：推动交易所后端安全标准建立；加强对第三方安全产品供应链风险的监测；持续关注朝鲜 Lazarus 集团等国家级 APT 组织攻击手法的演变。