區塊鏈資安公司 Hacken 公布二〇二六年第三季安全與合規報告：七月至九月加密資產相關駭客事件合共錄得約十一點八億美元損失、一百零七宗事故，較第二季上升約百分之五十五。CoinDesk 引述其聯合創辦人指出，約九點零六八億美元（約佔七成七）與遭入侵的供應商或開發工具、已公開但未安裝的修復，又或未納入最近一次安全審查的組件有關——審計徽章往往只覆蓋部分智能合約，錢包、簽署系統與第三方軟件常落在範圍外，容易令投資者產生虛假安全感。本文已核對 Hacken 官方報告頁、CoinDesk 專訪報道與 Cointelegraph 轉述，來源真實性已驗證。

Hacken／第三季：加密駭客損失十一點八億美元——審計徽章恐製造虛假安全感；約七成七損失涉供應鏈或審計範圍外

區塊鏈資安公司 Hacken 於二〇二六年十月十五日發布《Q3 2026 Security and Compliance Report》，指七月至九月期間加密生態錄得約十一點八億美元被盜、一百零七宗事故，較上一季上升約百分之五十五；並形容為有紀錄以來代價最高的季度之一。來源真實性已驗證：以下數字與機制陳述以 Hacken 官方報告頁為準，並以 CoinDesk（十月十八日專訪角度）與 Cointelegraph（十月十五日）交叉核對。

一、核心事件：損失結構與「審計範圍」問題

技術細節

Hacken 官方關鍵數字包括：損失約十一點八億美元、一百零七宗事故、按季升幅約百分之五十五；智能合約攻擊約佔損失四成八（第二季僅約一成二）；存取控制與營運失效約佔四成（第二季約八成八）。全球虛擬資產服務提供者（CASP）相關罰款合計約四十五萬美元。

CoinDesk 引述 Hacken 聯合創辦人兼董事 Andrii Matiukhin 的說法：「問題永遠是範圍（scope）。」團隊為控制成本，往往只審計服務中被視為關鍵的部分，導致真正影響資金或經濟機制的組件未被覆蓋。客戶見到審計徽章，常假設整套平台已受檢，最終卻在金鑰、供應商或從未測試的設定上失竊。CoinDesk 報道指約九點零六八億美元損失，與遭入侵供應商／開發工具、未安裝的公開修復，或未納入最近審查的組件有關。

單一事故規模方面，通訊社報道與專訪數字略有出入，讀者宜以官方報告全文為準。Cointelegraph 指四大事故包括 Bitget 約三點八七億美元、Liquid Network 約三點二億、Tectonic 約一點二億，以及 Coldcard 韌體相關約一點一五億；並指約八成損失集中於最大四宗，其餘九十八宗多低於一千萬美元，中位損失約六十七萬美元。智能合約路徑最常見：七十一宗、約二點二八億美元。CoinDesk 則提到 Bitget 至少約三點五二億美元，並指攻擊者利用第三方安全產品漏洞進入提款基礎設施；另稱七月六小時內多條跨鏈橋／協議損失逾三千五百萬美元等。

二、技術原理深度解析

加密協議的「安全邊界」往往被誤解為「智能合約審計通過即等於整體安全」。實務上，攻擊面橫跨：鏈上合約邏輯、預言機與跨鏈橋、託管與熱錢包、多重簽署／門檻簽名、提款與風控後端、CI／開發者工具鏈，以及供應商軟硬件。審計徽章若只覆蓋合約子集，其餘組件仍屬「未驗證信任根」。

Hacken 趨勢觀察亦指出：公開安全修復再度早於多宗高調攻擊出現——修復已披露但未及時部署，等於把攻擊窗口留給對手；同類漏洞模式亦跨代碼庫與編程語言重複出現。監管層面，當局愈來愈檢驗控制措施能否在持續營運中成立，而非單一時點的紙面合規，並更傾向追究創辦人與高階主管個人責任。

Cointelegraph 另轉述：約十一點八億美元毛損失中，約三點八七億（約三成三）其後返還或鏈上回滾；營運方另以自有資金覆蓋約四點一億用戶損失（例如 Bitget 用戶保護基金）；仍有約三點八四億（約三成二）既未返還亦未由營運方填補。這說明「被盜額」與「用戶最終淨損失」並非同一數字，但亦凸顯事後補救無法取代事前範圍完整的防禦。

三、日常應用場景

1. 開發者與技術團隊

把「可動用資金或影響經濟參數」的所有路徑列入威脅模型：合約之外的簽署機、提款服務、供應商 SDK、建置管線密鑰皆需同等級監控。公開 CVE／諮詢一出，應有強制時限的修補與回滾演練；審計報告須列明不在範圍的組件，而非只展示徽章。

2. 企業與隱私敏感行業

企業若持有或託管鏈上資產、運行節點或接入跨鏈流動性，應要求供應商提供持續控制證據（監控、金鑰輪替、最小權限），而非一次性審計 PDF。預測市場／衍生品等高特權場館，Hacken 另就其簽署與管治安排發出場館風險提示——機構接入前宜獨立覆核金鑰門檻與管理人身份透明度。

3. 一般用戶

見到「Audited」標籤時，應查閱審計範圍是否包含錢包、簽署與第三方依賴；大額資產優先冷儲存與官方渠道韌體，並對非官方經銷硬體保持高度警惕（CoinDesk 亦提及 Ledger 就東南亞經銷渠道硬體植入的近期警示）。

4. 香港與亞洲市場視角

香港虛擬資產服務提供者與 Web3 團隊面對證監會合規與客戶資產保護要求，不能把智能合約審計等同整體資安。跨鏈橋、託管與開發供應鏈同屬高風險基礎設施——與本站稍早報道的跨鏈鑄幣事故屬同一防禦邏輯。如需合約、節點或跨鏈相關工程，可參考 YSK Limited 的 Web3 區塊鏈開發：https://ysk.hk/services/web3-blockchain ；若同時要強化雲端暴露面、金鑰與供應鏈治理，亦可對照雲端遷移與網絡安全（官網刊 99.99% SLA）：https://ysk.hk/services/cloud-security 。

四、專業評價與潛在考量

優勢

• 以季度級、可核對的產業損失總量與結構，把討論從單一事故拉回「審計範圍與供應鏈」系統問題。
• 點出徽章行銷與實際覆蓋落差，對投資人與合規團隊具直接決策價值。
• 同步覆蓋監管罰款與高管問責趨勢，有助香港持牌／申請中機構對照內控設計。

需要留意的地方

• 單一事故金額在不同媒體轉述略有差異，應以 Hacken 報告全文與項目方公告為準。
• 「返還／回滾／自有資金填補」會改變用戶淨損失觀感，但不降低攻擊成功本身的嚴重性。
• 報告含場館風險包等延伸產品，讀者應區分研究結論與商業服務推廣。

結語

第三季十一點八億美元級的損失數字，真正刺痛的不是「又多一宗駭客新聞」，而是審計徽章所暗示的安全感，往往與攻擊者實際走的供應鏈、金鑰與提款路徑錯位。香港 Web3 與金融科技團隊若要把合規做成持續營運能力，應把範圍外組件納入監控與修補紀律。需要區塊鏈開發或雲端資安配套時，可從 YSK Limited 的 Web3 區塊鏈開發起步：https://ysk.hk/services/web3-blockchain 。

參考來源

• Hacken — Q3 2026 Security and Compliance Report：https://hacken.io/insights/q3-2026-report/
• CoinDesk — Crypto audits give investors false sense of security as Q3 hacks cost $1.18 billion, Hacken says：https://www.coindesk.com/tech/2026/10/18/crypto-audits-give-investors-false-sense-of-security-as-q3-hacks-cost-usd1-18-billion-hacken-says
• Cointelegraph — Bitget, Liquid exploits push Q3 crypto hacks toward $1.2B：https://cointelegraph.com/news/bitget-liquid-exploits-push-crypto-hacks-near-12b-q3