9 月 Web3 失血 7.6 亿：Bitget 与 Liquid 双爆，治理漏洞成新杀器

据 Woofun AI 消息，2026 年 9 月 Web3 安全领域遭遇系统性冲击，攻击面从代码层向运营与交互层全面蔓延。受 AI 能力提升驱动，漏洞挖掘效率显著增强，当月共发生 48 起安全事件，总损失高达 7.6 亿美元，标志着行业防御体系正面临前所未有的严峻考验。

9 月 24 日爆发的 热钱包被盗案成为本月损失最惨重的单一事件。黑客通过非法入侵手段，横跨多条主流区块链网络实施攻击，导致平台损失约 3.875 亿美元。

这一事件不仅刷新了单月交易所损失纪录，更暴露出中心化机构在跨链资产管理与热钱包隔离机制上的深层隐患。紧随其后的是 9 月 6 日发生的 侧链危机。作为 侧链，Liquid Network 因底层 软件存在验证缓存漏洞，被恶意铸造约 4,000 枚 ，价值约 3.2 亿美元。

尽管攻击者在 9 月 8 日返还了 3400 枚 BTC，但剩余 598.5 枚 BTC 的去留仍陷入是否为"漏洞赏金"的激烈争议中，凸显了侧链底层代码审计的紧迫性。

治理机制的脆弱性在 9 月 22 日的 事件中暴露无遗。攻击者精心策划了一场针对 和 协议的治理攻击，通过提案"AIATO: AI Agent Takeover. Phase 1: Agent Admin Registration"迷惑社区。该提案表面引用学术论文探讨 AI 代理去中心化治理，实则包含 11 条"Update Admin"消息，旨在将合约管理权转移至攻击者地址。

攻击者利用 SDK 的投票快照机制，在截止前 11 分 39 秒质押 3160 万枚 ，仅花费约 20199 便获得了足够投票权。最终提案以 82% 赞成率通过，远超 67% 的快速通道门槛及 30% 的法定人数要求。随后，攻击者替换代码并抽走资金，致使 Astroport 损失约 490 万美元，Drop 损失约 450 万美元，总计 940 万美元。

Woofun AI 整理数据显示，此类低成本高回报的治理攻击正成为黑客新宠，传统依赖相对比例通过的治理模式已显疲态。

协议逻辑漏洞与私钥管理失误同样造成了巨额损失。Injective 平台的二元期权结算缺陷被黑客利用，攻击者创建名为 Frontrunner 的空数据源预言机，并部署 299 个指向该预言机的市场。由于预言机失效，系统触发"NO_PRICE_FOR_REFUND"逻辑，即退还双倍保证金。在约 30 分钟的窗口期内，攻击者存入 105,199 USDC，却提取了 204,699 USDC，获利后通过 跨链桥转移至以太坊，总损失约 490 万美元。

此外，9 月 20-21 日， 生态（、、）因私钥泄露及合约设计缺陷遭殃。攻击者利用泄露私钥调用 合约的 conversionIn() 函数，该函数缺乏限额控制与资产锁定验证，导致 8,721,530 枚 被清空。随后，攻击者利用 NuNet 铸币权增发 4.085 亿枚 ，并通过 SingularityNET 跨链桥在以太坊铸造 8.96 亿枚 、5.005 亿枚 及 4.924 亿枚 ，进一步放大了损失。