Hacken报告：三季度加密项目损失11.8亿美元，审计覆盖范围受关注

Hacken报告：三季度损失规模与事件数量

区块链安全公司Hacken发布的最新报告显示，第三季度共记录107起事件，涉及金额约11.8亿美元，较上一季度增加55%。报告指出，其中约9.068亿美元与外部供应商或开发者工具相关，其余部分涉及已公开但未安装的安全修复，以及未纳入最近一次安全审查的组件。

审计标签与实际覆盖范围的差异

报告认为，部分投资者会将“已通过审计”理解为对整个平台的覆盖，但审计对象往往只是特定的智能合约，钱包、签名系统与第三方软件并不在审查范围之内。

Hacken联合创始人兼董事会成员Andrii Matiukhin在接受CoinDesk采访时表示，问题通常出在审查范围上。他指出，将资金流转与经济机制涉及的全部组件纳入审查成本较高，部分团队因此只对服务中的关键部分进行审计。

他同时表示，用户在看到新项目时往往会依据审计标识推定整个系统已被覆盖，而实际出现问题的位置可能是密钥、供应商或某项从未被测试的配置。

交易平台与硬件钱包相关事件

报告列出的规模较大事件之一是9月涉及交易所Bitget的情况，相关金额至少3.52亿美元。按照报告的描述，事件起因是第三方安全产品中的一项漏洞被利用，进而影响到提现相关基础设施。

硬件钱包方面，Ledger本周表示，在东南亚经销商CryptoBilis销售的一台设备中发现了未经授权的硬件植入物，相关金额约9300万美元。

跨链协议、借贷应用与钱包软件事件

7月的六个小时内，三个跨链桥及跨链协议合计涉及金额超过3500万美元，其中AFX Trade占2400万美元，原因是其验证者密钥被他人取得控制权。此外，Liquid Network涉及3.19亿美元，借贷应用Tectonic涉及至少7500万美元，Coldcard钱包软件涉及约1.14亿美元。

衍生品平台的密钥管理安排

Hacken还审查了12家衍生品交易所和预测市场，发现两家主要平台超过7亿美元的安全资产，依托于需四把密钥中三把签名的安排，或依托于持有者身份未公开披露的管理密钥。

Matiukhin未透露这两家平台的名称，也未在报告发布前给出详细评估。他表示，未发现相关系统存在正在发生中的漏洞，但认为在涉及资金规模较大的情况下，部分密钥安排并不充分。

漏洞修复时效

报告提到，已知漏洞的修复延迟是另一项关注点，特别是在多条区块链使用同一软件、但更新时间不一致的情况下。Matiukhin表示，有时关键漏洞会被团队归类为较低等级，修复的实施被推迟甚至被拒绝。

Hacken认为，持有客户资金的公司需要持续跟踪漏洞并及时安装修复，而不是依赖数月甚至数年前完成的审计结果。

信息来源：CoinDesk