Angrebsbølgen i august 2026: Styringsfejl, protokolfejl og en stadig bredere angrebsoverflade
August 2026 fortsatte det mønster, der har defined kryptosikkerhed i løbet af året: høj hændelsesfrekvens, forskellige angrebsvektorer og tab, der – selvom de er betydelige pr. hændelse – afspejler en fragmenteret snarere end katastrofal måned. Ifølge TRM Labs blev der alene i første halvdel af 2026 stjålet cirka 972 millioner dollars på tværs af 207 hændelser, en periode der satte en rekord for hackfrekvens, selvom de samlede tab faldt fra toppen i 2025.
Sårbarheder i smarte kontrakter forblev den mest almindelige angrebsvektor, mens kompromitteringer af private nøgler og brud på infrastrukturen tegnede sig for mange af de største individuelle tab. De hændelser, der blev dokumenteret i august, spænder over mindst otte protokoller og infrastrukturudbydere, med bekræftede tab pr. hændelse fra 1.7 millioner dollars til 8.5 millioner dollars. Samlet set afslører de tre vedvarende fejltilstande: udnyttede styrings- og autorisationsmekanismer, kaskaderende fejl på protokolniveau, der truer kædeintegriteten, og svagheder i smarte kontrakter og infrastruktur med konsekvenser, der rækker langt ud over balancer.
Når reglerne bliver vektoren: Governance og autorisationsudnyttelser
Den mest økonomisk betydningsfulde hændelse i august – Term Finances tab på 8.5 millioner dollars – var ikke en smart contract-fejl, men en strukturel fejl i governance-designet. En angriber erhvervede sig billigt en majoritetsposition i en sparsomt ejet governance-token og vedtog forslag, der gav kontrol over protokollens strategi-vaults, hvilket drænede cirka 2,843 ETH (værdiansat til 6.87 millioner dollars på daværende tidspunkt) og 1.68 millioner USDC – cirka 68 % af de 12.45 millioner dollars, der blev holdt i Terms Meta Vaults og næsten alle dens Ethereum-indskud.
PeckShield og CertiK bekræftede uafhængigt af hinanden tabsestimatet. Yearn Finance, hvis V3-infrastruktur vaults anvendte, præciserede, at angrebet udnyttede en brugerdefineret governance wrapper og ikke påvirker standard Yearn vault-konfigurationer. Term Labs reagerede ved permanent at lukke alle Meta Vaults ned, tilbagekalde DAO-governanceroller, bevare udbetalinger og koordinere med eksterne sikkerhedsteams om gendannelse af aktiver. Alvorligheden forværres af den institutionelle kontekst: Term havde lovet gennemsigtighed i governance og tredjepartsvalidering af kritiske opdateringer efter en Oracle-fejl i april 2025, der udløste cirka 918 ETH i utilsigtede likvidationer.
BounceBits udnyttelse på 3 millioner dollars fulgte en relateret, men mekanisk forskellig vej. En autorisationsfejl i Evmos blockchain-stakken, som BounceBit havde bygget sit lag 1 på, tillod en smart kontrakt-opkalder at udpege en anden konto som transaktionskilde uden nogen kryptografisk verifikation. Angriberen overførte cirka 286.5 millioner BB-tokens på tværs af ni tegnebøger over to dage uden at kompromittere en eneste privat nøgle eller tegnebogsenhed. Da Evmos selv har været nedlagt siden maj, valgte BounceBit permanent kædetilbagetrækning frem for afhjælpning og annoncerede, at de ville genudstede BB som et BEP-20-token på BNB Chain ved hjælp af et øjebliksbillede før angrebet og koordinere med børser for at gendanne berørte kundesaldi.
Begge sager understreger et veldokumenteret brancheskift: næsten 44 % af tabene i 1. halvår 2026 kom fra hændelser, der udnyttede operationelle og infrastrukturelle sikkerhedsfejl snarere end fejl i smarte kontrakter, og kompromittering af tegnebøger er blevet den dyreste angrebsvektor, hvor angribere er rettet mod nøglehåndtering og multisignaturstyring. Governance-angrebene i august ligger helt centralt inden for denne bane.
Kaskadefejl: Fejl på protokolniveau og kædeintegritetskriser
Flere hændelser i august eskalerede ud over økonomisk tab og truede integriteten af den bekræftede blockchain-tilstand – et mere alvorligt udfald, der sætter afviklede transaktioner i fare for at blive tilbageført og undergraver den grundlæggende tillid til et netværk.
MAYAChain, en cross-chain DEX bygget fra THORChains open source-kode, stoppede sit netværk den 19. august efter at en transaktion på 23 beskeder udnyttede seks sammenkædede softwarefejl, der spændte over handelskonti, håndtering af udgående transaktioner og likviditetspuljeberegninger. Angriberen trak til sidst 48.87 millioner CACAO-tokens ud af protokollens Asgard-hvælving. Direkte tab var cirka 1.7 millioner dollars i Bitcoin og andre aktiver; den samlede erosion af poolværdien, forværret af et fald i CACAO på 88.7% under hændelsen, nåede anslået 10.9 millioner dollars. Holdet kontaktede angriberen via en Bitcoin OP_RETURN-besked, startede en bug bounty-proces og lovede personlige bidrag til genopretning.
Harmony annoncerede en rollback til 11. august, efter at uautoriserede ONE-tokens blev præget og distribueret til børser – en afhjælpning, der ville kassere mere end 109,000 regelmæssige transaktioner og 315 staking-transaktioner. Selektiv gendannelse blev anset for teknisk usikker i betragtning af den indbyrdes afhængighed af saldi, nonces og kontrakttilstande på tværs af det berørte vindue. Ravencoin stod over for en parallel krise, da en konsensus-sårbarhed fik noder til at acceptere ugyldige blokke fra højde 4,487,776 og fremefter, hvilket fik mining pools, der kontrollerede netværkets hash rate majoritet, til at konstruere en konkurrerende kæde. En vellykket reorganisering kunne vende cirka tre dages bekræftede transaktioner; Upbit og Bitget suspenderede RVN-overførsler som reaktion. MANTRA, en blockchain, der er rettet mod tokeniserede aktiver i den virkelige verden, stoppede blokproduktionen den 21. august, efter at en angriber udnyttede en sårbarhed i en upstream ekstern afhængighed – software udviklet uden for selve protokollen. Dens token faldt 18.5% til et historisk lavpunkt før stoppet, hvor validatorer forblev offline i afventning af en koordineret patched-udgivelse og en fuld tabsvurdering stadig i gang.
Smarte kontrakter, infrastruktur og den udvidede angrebsflade
August måned medførte også bemærkelsesværdige hændelser på lagene for smart kontrakt og forsyningskæden, hvilket understregede, at kryptosikkerhedsrisikoen nu spænder over hele den operationelle stack. Sandbox-systemet deaktiverede bridging på Base og BNB Smart Chain, efter at en angriber kaprede LayerZeros delegerede tilladelser via en approveAndCall-funktion for at generere ikke-backede SAND-tokens.
Trods en nominel pålydende værdi på omkring 49 milliarder dollars – beregnet ved at anvende markedsprisen på tokens, der langt oversteg den tilgængelige likviditet – blev det faktiske berørte udbud bekræftet til under 0.01 % af SANDs samlede 3 milliarder tokens; SAND på Ethereum og Polygon forblev upåvirket. BTCPay Server afslørede en kritisk, aktivt udnyttet sårbarhed, der påvirkede dens selvhostede Bitcoin-betalingsinfrastruktur, og opfordrede brugerne til at opdatere til version 2.4.2 eller tage serverne offline med det samme, selvom bekræftede tab ikke er blevet kvantificeret. Separat afslørede Trezor, at dens distributionspartner ShipMonk havde haft uautoriseret adgang, hvilket afslørede navne, e-mailadresser, telefonnumre og leveringsadresser på cirka 14,000 kunder i syv lande. Ingen enhedsfirmware eller on-chain-midler blev kompromitteret, men hændelsen fremhæver den fysiske risikodimension: Personlige tvangsangreb har resulteret i anslåede tab på 30 millioner dollars i 1. halvår 2026, hvor hjemmeinvasioner nu tegner sig for 37 % af hændelserne.
Samlet set bekræfter hændelserne i august, at branchens sårbarhedslandskab både udvides og diversificeres. Angribere er ikke længere begrænset til at udnytte smart kontraktlogik; de opererer på tværs af styringsmekanismer, protokolafhængigheder, konsensuslag og tredjepartslogistikudbydere. Effektiv risikoreduktion kræver i stigende grad sikkerhedsrammer, der tager højde for alle disse overflader samtidigt.
Ansvarsfraskrivelse
I tråd med den Trust Project retningslinjer, bemærk venligst, at oplysningerne på denne side ikke er beregnet til at være og ikke skal fortolkes som juridiske, skattemæssige, investeringsmæssige, finansielle eller nogen anden form for rådgivning. Det er vigtigt kun at investere, hvad du har råd til at tabe, og at søge uafhængig finansiel rådgivning, hvis du er i tvivl. For yderligere information foreslår vi at henvise til vilkårene og betingelserne samt hjælpe- og supportsiderne fra udstederen eller annoncøren. MetaversePost er forpligtet til nøjagtig, objektiv rapportering, men markedsforholdene kan ændres uden varsel.
Om forfatteren
Alisa, en dedikeret journalist ved MPost, specialiserer sig i krypto, AI, investeringer og det omfattende område af Web3. Med et skarpt øje for nye trends og teknologier leverer hun omfattende dækning for at informere og engagere læserne i det stadigt udviklende landskab af digital finans.
Flere artikler
Alisa, en dedikeret journalist ved MPost, specialiserer sig i krypto, AI, investeringer og det omfattende område af Web3. Med et skarpt øje for nye trends og teknologier leverer hun omfattende dækning for at informere og engagere læserne i det stadigt udviklende landskab af digital finans.
