公开事故档案 · 每周更新
1,321 起公开加密事故，按攻击手法逐类拆解
这些事故合计损失 $21.23B。按手法分下来，前端/域名劫持和社会工程（钓鱼）发生在付款那一步：付款前查一次收款地址和付款网址，能在钱出去之前拦下其中已被名单或钓鱼库收录的部分；项目方跑路能看到合约很新、没有历史等提示信号。私钥泄露、合约漏洞、预言机操纵、跨链桥缺陷发生在钱包与合约内部，需要钥匙管理、代码审计等其他防护。下表逐类标明。
1,321
$21.23B
200 起
按手法分类：付款前筛查适用于哪些
「部分适用」指付款前筛查只能覆盖这一类里的一部分：已被名单或钓鱼库收录的，或能看到提示信号的。这不代表这一类事故都能拦下。
| 手法 | 起数 | 损失 | 付款前筛查 |
|---|---|---|---|
| 权限控制缺陷 | 229 | $1.96B | 合约权限配置错误属于代码审计范畴，付款前筛查看不到。 |
| 协议逻辑漏洞 | 176 | $252.2M | 协议逻辑漏洞要靠审计与形式化验证。 |
| 代币 / 份额记账错误 | 168 | $1.45B | 记账 / 份额计算漏洞属于合约层问题，要靠代码审计。 |
| 价格预言机被操纵 | 164 | $898.5M | 预言机被操纵属于市场与喂价设计问题。 |
| 私钥泄露 | 161 | $8.96B | 私钥泄露属于钱包与钥匙安全范畴，付款前筛查对手方和端点不涉及这一环。 |
| 网站前端被劫持 | 97 | $1.13B | 前端或域名被劫持后，页面给出的收款地址是攻击者新生成的，地址名单里没有；但被劫持的域名常常已经进了钓鱼域名库，端点筛查能拦下其中一部分。 |
| 输入校验缺失 | 71 | $755.5M | 参数校验缺失属于合约代码缺陷，要靠代码审计。 |
| 重入攻击 | 64 | $500.1M | 重入是经典合约漏洞，与付款对手方无关，要靠代码审计。 |
| 钓鱼和诈骗 | 61 | $3.12B | 钓鱼站和假空投页面大量出现在钓鱼域名库里，部分收款地址也已被收录。付款前查一次端点和对手方地址，能拦下其中一部分。 |
| 跨链桥漏洞 | 54 | $1.53B | 跨链桥的铸造 / 验证缺陷发生在桥内部，要靠桥自身的安全设计与审计。 |
| 项目方卷款跑路 | 42 | $284.7M | 跑路项目的合约往往很新、没有历史、没有审计，这些是付款前看得到的提示信号，只作提示，不构成定论。 |
| 治理投票被操纵 | 20 | $245.2M | 治理攻击靠投票权设计与时间锁防范。 |
| 市场操纵 | 13 | $136.0M | 市场操纵属于流动性与市场设计问题。 |
| （未分类） | 1 | $18K | 未归类的事故一律计为「需其他防护」，不往有利于自己的方向猜。 |
付款前筛查怎么拦这几类
前端被劫持、域名被仿冒时，页面给出的收款地址是攻击者刚生成的，任何地址名单都查不出来。但被劫持的域名往往已经进了钓鱼域名库。这一步只能在端点这一层挡。
GET /api/endpoint?url=…
受害资金流向的地址、诈骗项目的收款地址，常常已被社区名单收录。付款前查一次，能在钱出去之前拦下已知的那部分。
GET /api/risk?addr=…
两个接口回答不同的问题：地址筛查拦已知的坏收款方，端点筛查拦被仿冒的付款网址，配合使用。
最近 40 起
数据来源与说明
- 全部事故来自公开事故数据，按原样收录，不改金额、不改分类。
- 分类统计每次页面渲染时从数据现算，上游数据更新后跟着变。
- 源数据不含逐条原始报道链接。
- 「部分适用 / 需其他防护」是我们对这一类事故的一般判断，不是对任何一起具体事件的结论，也不指认任何一方的责任。
- 我们不添加推测，不点名未经证实的当事方。