八天狂揽4200万美元：“去中心化”为何不再保护永续合约DEX交易者？_新闻

免责声明：内容不构成买卖依据，投资有风险，入市需谨慎！

八天狂揽4200万美元：“去中心化”为何不再保护永续合约DEX交易者？

2026-08-06 20:26:36

七天内两起攻击：Arbitrum 生态永续合约交易所接连失窃

七月，短短八天内，Arbitrum 上的两家去中心化永续合约交易所相继被盗：7月15日，Ostium 遭受攻击；7月22日，AFX Trade 也未能幸免。攻击者共计卷走约4200万美元。在这两起事件中，攻击的切入点并非智能合约，而是由个人持有的私钥。这正是该行业核心营销承诺开始出现裂痕的地方。“去中心化”曾意味着：没人能拿走你的钱，因为没人持有它。然而，对于许多服务提供商而言，它实际上意味着：你的存款存放在一座桥接器之后，而该桥接器的签名密钥则保存在用户一无所知的服务器上。

两起事件详情

7月15日：Ostium 遭攻击

在 Arbitrum 上的永续合约去中心化交易所 Ostium，一个价格预言机的私钥遭到泄露。这使得攻击者能够签署伪造的、未来日期的价格报告，并通过协议自身的 PriceUpKeep 基础设施进行投送。攻击者利用伪造的比特币价格（5000美元）开立了一个头寸，随后以实际价格（约60000美元）平仓。差价来自流动性提供者的资金池：根据评估，损失金额在1800万至2375万美元之间。交易随后被暂停。其漏洞赏金计划中有一个细节值得注意：攻击所利用的精确组件被明确排除在赏金范围之外。因此，安全研究人员没有动力去检查那里。安全公司 Halborn 已逐步还原了此次攻击过程。

7月22日：AFX Trade 遭攻击

一周后，同样位于 Arbitrum 的 AFX Trade 也遭到攻击。攻击者控制了该协议自行运营的 USDC 托管桥接器的验证者签名密钥，该桥接器用于授权跨链提款。共计2415万美元的 USDC 离开了平台。这些资金被转移到以太坊，并兑换成约12467枚 ETH；此后，该平台的总锁仓价值实际上被清空。AFX 向攻击者提供了总金额30%的所谓“白帽赏金”——约720万美元——以换取返还剩余资金。目前尚未确认有资金返还。桥接器运营已暂停，基础设施正在重建，相关凭证也已轮换。8月3日，该项目宣布了一项针对受影响用户的善意计划。

共同模式

这两次攻击遵循相同的逻辑。交易本身在链上运行，可验证且无需托管方。然而，在两个关键点上，链上操作必须离开区块链：

在价格方面。永续合约需要外部报价。谁持有预言机密钥，谁就能决定协议将什么视为“现实”。

在资金方面。来自其他链的存款通过桥接器到达。谁持有其签名密钥，谁就能提取资金。

这两者都是由少数人持有的链下密钥。智能合约审计或订单簿的去中心化程度，都无法说明这些密钥的安全性。一个永续合约去中心化交易所的去中心化程度，最终取决于其密钥管理方式；而对于许多服务提供商来说，这不过是一家拥有服务器的公司。作为背景信息：截至2026年，DeFi 因黑客攻击已损失超过8.4亿美元。七月的这两起事件在该系列中并非个例。

市场板块整体萎缩

时期：所有永续合约去中心化交易所的月交易量

2025年10月（峰值）：1.36万亿美元
2026年3月：6990亿美元
2026年4月4日：日交易量84亿美元，是自2025年9月以来首次跌破100亿美元

这意味着连续五个月下降超过50%，且未见有意义的反弹。市场格局也已重新洗牌：Hyperliquid 在2025年5月占据了链上永续合约交易量约71%的份额，如今已降至约三分之一。原因并非用户迁移，而是整体市场蛋糕缩小后的重新分配——Aster 依靠激励计划，Lighter 则采用零费用模式。对用户而言，这意味着更薄的订单簿、更高的滑点和上升的清算风险。还有一个不易察觉的副作用：面临成本压力的服务提供商会缩减开支，而安全架构往往是缩减开支最不易被察觉的领域。

背后是谁？

一家受监管的交易所会在其法律声明中明确谁承担责任。而一个永续合约去中心化交易所，在出现问题时，可能只提供一个 Discord 聊天频道。这并非指责，而是其设计的一部分。这带来了一个营销中很少提及的后果：如果密钥掌握在个人手中，那么这些“个人”是谁，就成了一个安全问题。在首次存入资金前，有七个问题需要厘清，它们比一份审计证书更能说明问题：

1. 谁持有桥接器密钥？是单一签名者、多签钱包，还是分布式验证者集？提款需要多少个签名，由谁签名？
2. 价格来自哪里？单一预言机对应单一密钥，是单点故障；多个独立数据源配合健全性检查则不是。
3. 漏洞赏金计划中排除了哪些内容？Ostium 事件表明，排除项往往是计划中最有趣的部分。
4. 是否有保险基金，并且在链上可见？博客文章中的承诺并非基金。
5. 项目背后是谁？匿名团队并非必然不诚实，但他们也不承担责任。在存入资金前，这点值得了解。
6. 过去发生事件时，沟通是如何处理的？是否有包含时间线的技术性事后分析报告，还是仅有无数据的公告？
7. 事件发生后，用户被引导至何处？如果推广某个平台的同一渠道，随后将用户引流至某个特定的中心化交易所，那便是一种广告关系，应予以披露。

我们的立场

关于 AFX 与某些特定中心化交易所之间存在关联的截图和说法，正在德语社区中流传。我们无法独立核实这些材料，因此不点名道姓。一张截图并非证据，一个无法验证的怀疑也不应登上标题。任何持有可验证材料的人士，可以联系我们的编辑部。

根据我们自身的经验，我们可以说的是：我们也会通过交易平台如何回应编辑询问来评估它们。与 Phemex 打交道的经历屡次令人不满，因此该交易所从未出现在我们的任何推荐中。这是对我们自身合作经历的评估，并非对其用户行为不当的指控。

结论与启示

这个夏天最令人不安的结论，是这个圈子不情愿承认的一点：受监管的中心化交易所再次拥有了论据。并非因为它们在技术上更优越，而是因为它们提供了一些匿名永续合约去中心化交易所结构上无法提供的东西——一个可以送达法律文书地址、一个监管机构、一份资产负债表，以及当密钥丢失时，某个需要承担责任的主体。自2026年7月1日 MiCA 法规的最新过渡期到期后，在欧洲也可以查询到谁持有相关授权。

这明确不是在邀请您将资金永久留在交易所；“不掌握私钥，就不掌握币”的原则依然成立。这是邀请您诚实地衡量便利性的成本。在受监管的交易所，您支付的是费用和完成 KYC。在匿名的永续合约去中心化交易所，您承担的风险是：某个普通星期二早晨，验证者密钥可能易手。

由此可以采取三个步骤：

分离您的资产。交易保证金放在平台上，仅此而已。其余资产应自行保管。那些在 AFX 存放资金的用户，自7月22日起就一直在等待一份善意计划。

在下次存入资金前，先回答那七个问题。这只需几分钟。如果您无法回答，您就已经得到了答案。关于各服务提供商在费用、流动性、密钥架构、事件历史等方面的对比，可以参考我们的相关比较。

至少算算走受监管路线这笔账。如果您不需要杠杆，受监管的交易所成本可能高出几个基点，但为您提供了一个可追责的交易对手方。在一个交易量减半的市场中，这通常不是更差的选择。

今后，更值得问的问题不是“这去中心化吗？”，而是“谁持有密钥？当那个人碰上糟糕的一天时，会发生什么？”。去中心化不是一个徽章所能承诺的属性，而是一个可以量化的要素。

（截至2026年8月5日。本文不构成投资建议，也不推荐任何个别交易平台。损失金额基于发布时已有的分析，可能发生变化。）

免责声明：

本网站、超链接、相关应用程序、论坛、博客等媒体账户以及其他平台和用户发布的所有内容均来源于第三方平台及平台用户。百亿财经对于网站及其内容不作任何类型的保证，网站所有区块链相关数据以及其他内容资料仅供用户学习及研究之用，不构成任何投资、法律等其他领域的建议和依据。百亿财经用户以及其他第三方平台在本网站发布的任何内容均由其个人负责，与百亿财经无关。百亿财经不对任何因使用本网站信息而导致的任何损失负责。您需谨慎使用相关数据及内容，并自行承担所带来的一切风险。强烈建议您独自对内容进行研究、审查、分析和验证。

展开阅读全文