Cryptocurrency lost $768 million in worst hacking month of 2026

Disclaimer: Content does not constitute investment advice. Trading involves risks—please invest with caution!

2026年9月加密资产黑客攻击造成超7.66亿美元损失，创年度之最

2026年9月，加密货币行业遭遇严重安全冲击。据PeckShield统计，当月共发生55起重大安全事件，导致约7.665亿美元的资金损失；CertiK则统计了97起事件，估算损失总额为7.684亿美元。其中，Bitget和Liquid Network的安全事故占据了总损失的绝大部分，使9月成为2026年成本最高、损失最惨重的月份。

Bitget遭受重创：近3.875亿美元被盗

9月24日，Bitget交易所发生了一起严重的热钱包安全漏洞事件。经调查确认，约有3.875亿美元的加密资产被转移至攻击者控制的地址中。此次攻击波及Bitget在以太坊及其他EVM兼容网络、XRP Ledger、Zcash和Tron上的部分热钱包和温钱包基础设施。涉及的资产包括ETH、XRP、USDT、USDC、ZEC、BNB、AVAX和TRX等。Bitget方面表示，其冷钱包及私钥并未受到泄露或破坏。

独立安全机构Mandiant和SlowMist的后续调查发现，攻击者利用了受 compromising 的第三方安全软件，获得了未经授权访问Bitget钱包环境的权限，并伪造了钱包提币指令。该漏洞已在攻击发生后被识别并修复。

事发后，部分被盗资产开始通过跨链服务进行流转。例如，有记录显示一个钱包通过THORChain将约2,390枚ETH兑换为75.2枚BTC。此外，AMLBot追踪到约4枚BTC进入了Wasabi CoinJoin交易以混淆来源。目前，Bitget已恢复BTC、ETH和USDT的提现服务。根据其最新发布的储备金证明报告，覆盖的19种资产的总储备比率达到131%，且公司宣布其保护基金已于9月30日补充至超过3亿美元。

Liquid Network漏洞利用案：大部分资金已追回

9月6日，Liquid Network遭受另一重大攻击。由于Elements代码库中存在漏洞，攻击者利用范围证明验证缓存中的错误，成功创建了约4,000枚无对应比特币支持的L-BTC，并通过正常的出 Peg（Peg-out）流程提取了近4,000枚真实BTC，导致联合会的比特币储备从约4,205枚骤降至197枚。CertiK独立评估受影响金额为3,998.5 L-BTC，事发时价值约3.187亿美元。

与大多数大型盗窃案不同，此案中的大部分比特币被迅速追回。在与Liquid团队通过链上消息沟通并进行谈判后，攻击者于9月7日归还了3,400枚BTC。Liquid后续的评估显示，仍有约602枚BTC未归还。这意味着，尽管9月的总损失数据高达7.66亿至7.68亿美元，但这反映的是受安全事件影响的总价值，而非永久丢失的金额。这3,400枚BTC的归还在一定程度上缓解了实际损失，但Liquid的漏洞事件仍会被计入各安全机构的月度事故总数中。

Blockstream在暂停网络后部署了紧急补丁，发布了经过强化的Elements v23.3.4版本，并于9月9日恢复了区块生产。然而，截至9月29日，Peg-out操作仍处于暂停状态，具体重新开放时间尚未公布。Liquid随后启动了针对新版本的安全审计，并着手替换出Peg授权条目，以恢复正常提现服务。

其他小型黑客攻击与年度总结

除上述两起重大事件外，CertiK还记录了9月其他几起较小规模的损失事件。Safe Wallet遭受约780万美元的损失，DCENT和Duelbits分别损失约600万美元和590万美元。

Throughout 2026, a total of 656 security incidents have occurred so far, with a cumulative loss of approximately US$2.68 billion. The scale of losses in a single month in September has become the largest this year. Looking back in the first eight months, hacking attacks in the DeFi field alone caused at least US$1.3 billion in losses, with the disclosure of credentials and private keys playing an important role in this. The two major attacks in September revealed different attack paths: Bitget's attack originated from a compromise in third-party security infrastructure, while Liquid's attack originated from flaws in software verification logic.

CertiK pointed out that the September incident reminded us that the cybersecurity environment is changing at a alarming rate. Currently, the tracking of funds in response to the Bitget incident is still continuing, and Bitget has also provided a 5% reward for assistance in freezing or recovering assets. stablecoin issuers such as Circle and Tether also froze approximately $318,000 in related assets early in the investigation. As Bitget plans to gradually restore remaining tokens, fiat and P2P withdrawal services at 08:00 UTC on October 2, the market is gradually restoring order from this series of security crises.