Aiying 艾盈是一家专注于传统金融及Web3的合规咨询服务机构，本文为团队原创，转载需授权。
一句话速览
- 区块链安全公司 Blockaid 发布《2026 年资金追回威胁形势报告》，统计 2026 年 1 月 5 日至 8 月 5 日间 60 起重大链上攻击，涉资约 11.8 亿美元
- 截至 9 月 2 日，仅 980 万美元（0.8%）返还受害者，另有 8140 万美元被冻结但未归还，约 10.4 亿美元仍未追回
- 60 起事件中仅 5 起有资金被冻结或追回，合计 9120 万美元；其中 99.1% 依赖协议、治理或验证者层面的控制机制
- 稳定币发行方地址冻结与中心化交易所合规拦截，在全部案例中追回为零——报告直言这是当前恢复工具的主要失效点
- 被盗资金中位转移时间仅 17 分钟，68% 在一小时内发生转移，留给安全团队的响应窗口极为狭窄
发生了什么
一份关于「追回」而非「预防」的报告
2026 年 10 月 19 日，区块链安全公司 Blockaid 发布《2026 年资金追回威胁形势报告》（2026 Fund Recovery Threat Landscape），系统梳理了 2026 年 1 月 5 日至 8 月 5 日期间发生的 60 起重大链上攻击事件。报告的核心结论并不在于攻击规模——约 11.8 亿美元的累计损失金额——而在于事后处置环节：截至 9 月 2 日的统计截止日，仅有 980 万美元（约 0.8%）真正返还到受害者手中，另有 8140 万美元被冻结但尚未归还，超过 10.4 亿美元的资金仍处于失控状态。
追回几乎全靠「链上自己人」
报告进一步拆解了这 9120 万美元被冻结或追回资金的来源：其中 9040 万美元（99.1%）是通过协议、治理机构或验证者主导的控制机制实现的，而非传统意义上由中心化主体执行的冻结。典型案例如 Arbitrum 安全委员会在 Kelp DAO 攻击事件后冻结约 7100 万美元、Syscoin 销毁约 900 万美元未授权增发的代币、以及 Stellar 验证者在 Blend 攻击事件后隔离约 690 万美元。相比之下，稳定币发行方的地址黑名单冻结、以及中心化交易所的入金合规拦截，在全部 60 起事件中的实际追回贡献为零。
17 分钟：追回窗口的残酷真相
Blockaid 还对 59 起有资金转移记录的事件进行了时序测量，结果显示攻击者在得手后开始转移资产的中位时间仅为 17 分钟；22% 的事件在首分钟内即出现资金转移，68% 在一小时内完成转移。Blockaid 联合创始人兼 CEO Ido Ben-Natan 直言，17 分钟对于任何安全团队而言，都是一段「极短到几乎不可能完成检测、定位与响应协同」的窗口。另有约 2.871 亿美元的被盗资金散布在 16 起事件、存放于可被追踪但无法被冻结的钱包地址中，其中约 2.29 亿美元可追溯至 4 月的 Drift 攻击（约 107,165 枚 ETH 存于三个攻击者地址）——这些资产以 ETH、BTC、包装代币与流动性质押代币为主，恰恰缺乏一个「可执行冻结指令的中央发行人」。
为什么重要
冻结机制的「主体缺口」是结构性的
这份报告对合规从业者的最大价值，在于它以量化方式揭示了一个被长期低估的结构性问题：现行的事后资金追回体系，高度依赖「存在一个有权且有义务冻结资产的中心化主体」。稳定币发行方可以冻结其合约层面的地址，中心化交易所可以拦截可疑入金，但这两类机制只能作用于受控资产；一旦被盗资产以原生 ETH、BTC 或缺乏发行人冻结接口的代币形式存在，追回链条就从根本上断裂。约 2.871 亿美元「看得见却动不了」的资金，正是这一结构性缺口的直观呈现。
协议层治理冻结成为事实上的「最后防线」
报告同时表明，在中心化主体失灵的背景下，协议层的治理冻结机制反而成为唯一产生实际效果的追回手段。Arbitrum 安全委员会、Stellar 验证者等「链上治理主体」凭借对协议状态的治理权限，完成了 99% 以上的冻结动作。这对机构合规的启示在于：协议在设计阶段是否预先约定了「谁有权冻结、冻结需要何种证据门槛」，将直接决定攻击发生后能否在 17 分钟窗口内启动有效干预。Blockaid 明确建议，协议与机构应当事先明确冻结权限归属与证据标准，而非在事件发生后再临时协商。
反洗钱与制裁合规视角下的新挑战
从反洗钱（AML）与制裁合规角度看，这份报告的意义超越了单纯的安全叙事。稳定币发行方冻结与交易所拦截的「零追回」结果，意味着当前依赖受监管中介执行资金控制的合规架构，在应对原生链上资产跨境转移时存在系统性盲区；而 2.871 亿美元停留在「可追踪但不可冻结」的钱包，也为监管机构、执法机关与合规团队提出了一个现实难题：当资金流动完全可溯源、却没有任何一方具备冻结权限时，制裁名单、冻结令与资产追缴程序应当如何落地。这与各国正在推进的加密资产「旅行规则」（Travel Rule）与链上追踪监管形成了直接张力。
怎么看
- 追回体系正在从「中心化主体」转向「协议治理」：99.1% 的追回靠链上治理主体，机构合规须重新评估冻结权限的架构设计。
- 17 分钟窗口意味着「事前拦截」才是唯一现实解：Blockaid 的结论直指「在资金被盗之前阻断危险交易」，而非事后补救。
- 原生资产的「不可冻结性」是最大风险敞口：ETH、BTC 等无发行人资产一旦失窃，现行冻结工具基本失灵。
- 稳定币发行方与交易所的冻结义务需要重新界定：当黑名单机制实际追回为零，监管对「受监管冻结能力」的预期需要务实校准。
- 协议应预先写入冻结权限与证据门槛：把治理冻结从「事后协商」变成「事前约定」，是唯一能在 17 分钟窗口内生效的方案。
一句话总结
Blockaid 的报告用一组冷酷的数据戳破了一个行业幻觉：60 起链上攻击、11.8 亿美元损失、仅 0.8% 追回，且 99% 以上的冻结由协议治理主体完成——稳定币冻结与交易所拦截在真实事件中几乎毫无作为。对合规机构而言，这意味着「事后追回」必须让位于「事前拦截」，而冻结权限的协议层预设，正从一种安全工程细节，上升为决定资产能否被救回的制度设计命题。
本文基于 Blockaid《2026 Fund Recovery Threat Landscape》报告（2026-10-19 发布）撰写，并参考 The Defiant、Unchained、Crypto Briefing 等报道（2026-10-21）。
