加密稽核為什麼像安全潔癖：Q3 被駭 11.8 億美元，真正漏掉的都在審核範圍外

2026 年第三季，加密產業又被安全事件打了一記重拳。Hacken 統計的損失達到 11.8 億美元，其中 77% 跟供應商失守、延遲修復、系統不在最新安全審查範圍有關。這聽起來不像傳統 smart contract 漏洞，更像整個產品鏈條的免疫系統壞掉了。過去加密專案習慣把 audit 當上線前的健康檢查，報告一掛出來，投資人就有種「應該安全了」的心理暗示。但現在，DeFi、跨鏈橋、交易所與鏈上金融基礎設施已把資金流、管理權限和第三方服務綁在一起，安全不再只是工程師寫錯一行程式，而是供應鏈與事件回應有沒有跟上。

稽核不是安全護身符，它只是那一版程式的體檢表

我對 audit 的認知一直比較現實：它不是保平安，而是把已知風險攤開。一份好的 smart contract audit 會幫你找出 reentrancy、access control、oracle manipulation 這類問題，但它通常只驗「你交給它的那份程式碼、那個版本、那組假設」。問題是，加密系統上線之後，程式碼會被打包、部署、接入 RPC、接 indexer、接 wallet、接 multisig，甚至接一堆你不完全控制的第三方服務。駭客現在很聰明，不一定硬剛合約邏輯，而是去找邊界：admin key 有沒有放錯地方、build pipeline 有沒有被污染、supplier 的 API 權限有沒有過大、hotfix 有沒有同步到所有環境。

當 77% 的損失來自供應商失守、延遲修復或最新審查範圍外的系統，「有稽核」就不該再被當成「安全」的代名詞。

我比較在意的是，投資人看到 audit passed 時，腦中很容易產生一種錯覺：這個專案已經被專業機構把關過了。但真實世界裡的加密金融，比較像一家餐廳。你查了廚房衛生，不代表外送員的手是乾淨的，不代表食材供應商沒有出事，也不代表消防通道沒有被雜物堵住。DeFi 和交易所現在的問題，就是大家太習慣把「廚房衛生」當成整套風險管理。

77% 背後：真正被偷走錢的，是「沒被驗到的那層」

Hacken 提到 77% 的損失跟 供應商失守、延遲修復 或 系統不在最新審查範圍 有關，這句其實很值得拆开看。它指向一個很現實的產業狀態：安全漏洞不一定藏在最核心的 protocol 裡，而是藏在「核心之外但能影響核心」的地方。

可以想像一個很常見的場景：一個 DeFi 專案的 smart contract 本身沒有重大漏洞，但它依賴的 price oracle 被污染，或者 RPC 節點回傳的交易資訊被篡改，再或者管理端 UI 被植入惡意腳本，讓 multisig 簽章流程被誤操作。這些事情未必會寫在最初的稽核範圍裡，卻足以造成資金損失。

風險類型	常見形式	為什麼稽核容易漏	對投資人的實際影響
供應商失守	RPC、indexer、cloud、signing service、oracle 被入侵	專案稽核通常只驗自身合約，不驗第三方服務	資產可被搬走、價格異常、管理權限被濫用
延遲修復	已知漏洞披露後 patch 慢，hotfix 未同步	稽核報告多反映舊版本，更新速度跟不上	已知弱點變成公開攻擊窗口
未納入最新審查	新模組、跨鏈橋、管理端、錢包介面未重測	上線速度與功能迭代快於審查節奏	投資人看到的是舊版安全保證

在我看來，這張表最關鍵的不是「哪一種風險比較可怕」，而是它說明加密產業的安全模型已經變了。過去我們比較像在做 single point failure 的排查：合約有沒有漏洞、token 有沒有被惡意 mint、bridge 有沒有簽章風險。現在則更像軟體供應鏈安全：你的依賴元件、部署流程、權限管理、事件回應，都要被當成攻擊面。ERC-20 這種基礎 token 標準不一定難，真正難的是整個系統裡誰有權限讀、誰有權限寫、誰能觸發交易、誰能撤銷交易，以及當事情出錯時，多快能把損失截斷。

未來一兩年：安全會從「文件」變成「持續跑分」

如果只看 2026 年第三季這組數字，我會判斷未來一到兩年，加密安全會從「上線前驗一次」走向「上線後一直跑」。這不是一句漂亮話，而是因為攻擊成本下降、攻擊面變大，專案不可能再靠一份 PDF 報告撐住信譽。

我比較看好的演變有三個方向。第一，continuous audit 會變成常態。不是每季重新驗一次，而是每次 commit、每次 deploy、每次權限變更，都觸發自動化檢查。第二，supply chain security 會被拿上台面。專案可能需要披露關鍵供應商、依賴元件版本、SBOM、provenance 和 patch SLA，就像傳統軟體開始講 DevSecOps 一樣。第三，資金層面控制 會更嚴。multisig、MPC、threshold signature、session key rotation 這些東西，會從「高級功能」變成機構級專案的基本配備。

舊機制	新機制	差別
上線前一次 audit	上線前後持續 monitoring 與 regression audit	從靜態報告變成動態防禦
只看 smart contract	同時看 supplier、RPC、admin UI、wallet	覆蓋真實攻擊面
漏洞披露後 manual patch	patch SLA、自動回滾、canary deploy	降低已知漏洞窗口
投資人看 audit 徽章	投資人看 incident response、access logs、supplier disclosure	信任從文件轉向行為

這裡我想稍微講得直接一點：未來投資人看一個專案，應該會多問幾個比較「不浪漫」的問題。你們的 RPC 供應商是誰？admin key 存在哪裡？hotfix 多久能上線？跨鏈橋的 relayer 有沒有限額？oracle 資料源有沒有備援？事件發生時，誰有權限凍結、誰有權限撤銷、誰有權限提款？這些問題聽起來很工程化，但對資產安全來說，它們比一句「已通過稽核」重要得多。

對專案、交易所和投資人來說，真正要盯的是什麼

對專案團隊來說，audit 仍然有用，但不能再當最終答案。安全團隊要開始把 threat model 從合約層拉到系統層，包含 build pipeline、secret management、dependency scanning、access review 和 incident response runbook。尤其當專案開始接機構資金，SLA 和 disclosure process 會變成商業問題，不只是技術問題。

對交易所和鏈上金融平台來說，上幣或上鏈的標準應該從「有沒有稽核報告」升級成「能不能持續證明安全」。這可能包含 runtime monitoring、transaction anomaly detection、supplier risk score，以及必要的 kill switch 或資金撤離機制。這裡不是要讚美 kill switch，而是承認現實：當系統有管理端、有跨鏈、有第三方依賴，完全去中心化的理想狀態並不一定存在，所以必須把控制權設計得更透明。

對投資人來說，我的建議是別把安全徽章當免死金牌。你可以把 audit 當成基礎門檻，但真正要看的，是專案在「未通過」或「部分通過」時怎麼處理，有沒有公開 bug bounty，有沒有事件通報機制，有沒有把資金放在可監控、可撤離、可分層管理的結構裡。加密市場一直有種迷思，好像只要技術足夠去中心化，風險就會自動消失。但 2026 年第三季的損失提醒我們：去中心化可以降低某些風險，卻不會自動解決供應鏈、權限與人為流程的問題。

延伸思考與常見問題