2026年7月加密資產遇襲損失2.474億美元 Coldcard漏洞成最大缺口

2026年7月加密資產盜竊金額急升。據DefiLlama數據，黑客當月合共盜走約2.474億美元，成為今年第二嚴重月份；相比6月約7,500萬美元高逾兩倍，亦約為5月6,000萬美元的四倍。今年僅4月錄得更高損失，約6.44億美元。 7月最大單一事件為Coldcard硬件錢包漏洞。Galaxy Research指出，至少三輪已確認攻擊波及約7,300個比特幣錢包，造成逾1億美元BTC失竊；若計入疑似第四輪，損失或增至約1.3億美元。DefiLlama目前估算事件約1.15億美元。按此口徑，Coldcard一案已佔7月總失竊額約46%。由於Coldcard主打離線保管私鑰，事件格外受關注；問題與受影響版本生成錢包恢復資訊的方式有關，反映冷存儲可降低網上攻擊風險，但硬件或固件層面的內部缺陷仍可造成重大損失。 Arbitrum生態亦出現兩宗大型事故。7月22日，與AFX相關的跨鏈橋因私鑰外洩被攻擊，約2,415萬美元被盜，攻擊者把大量被盜USDC兌換成以太幣。Offchain Labs表示，Arbitrum原生跨鏈橋本身未有被攻破。較早一周，去中心化交易平台Ostium的鏈下報價基建遭入侵，導致約2,375萬美元損失；攻擊者提交偽造價格報告，藉此在Ostium的流動性提供者金庫上製造「高盈利」交易。Ostium稱交易者抵押品獨立存放，未受影響。 Hedera鏈上借貸協議Bonzo Lend於7月11日損失約900萬美元。攻擊者利用第三方預言機驗證系統漏洞操縱SAUCE價格，令其抵押品估值被大幅抬高，從而借出遠超真實抵押價值的資產。Bonzo其後宣布，受影響用戶倉位將透過由Hedera Foundation支持的復原機制作出承擔。 加密支付公司TripleA亦成為基礎設施攻擊目標。7月下旬，黑客未經授權存取公司多條區塊鏈的熱錢包，初步估算損失約970萬美元；DefiLlama把事件歸類為熱錢包被攻破。TripleA表示客戶資金獨立託管，未受影響。 跨鏈橋繼續是重點狙擊對象。VerusEthereum Bridge於7月22日因「橋驗證繞過」被盜約753萬美元（DefiLlama分類）；Wanchain則於前一日因與簽名相關的漏洞損失約650萬美元。其他較小事件亦推高整體金額，包括Crypto DAO約820萬美元事故、Allbridge Core約165萬美元攻擊，以及多宗涉及預言機與流動性操縱的個案。 值得留意的是SecondFi事件的時間線差異。該Cardano錢包被指損失約240萬至260萬美元，並在多個7月黑客盤點中出現；但SecondFi自述主要攻擊波發生於6月21日至6月23日，後續影響、復原工作及最終決定停運則延續至7月。 整體而言，7月的案例顯示，加密資產的攻擊面已不止於智能合約本身。私鑰管理、硬件錢包、預言機與報價基建、跨鏈橋機制及營運系統均可成為入侵入口，足以引發千萬美元級別損失。