加密货币交易所被黑记录:81 起事件、51 亿美元遭窃,只有 40% 全额赔付
自 2011 年以来有记录可查的 81 起交易所被黑事件中,只有 40% 最后让用户获得全额赔付;也因此,交易所吸收损失的能力,是您充值前最值得确认的一件事。
以这项指标来看,MEXC 是本次比较中的首选:Hacken 于 2026 年 8 月 10 日完成的独立验证,确认纳入范围的四种资产储备覆盖率全部超过 100%,而 MEXC 自家的储备金页面显示,同一快照的 BTC 覆盖率为 287.53%。
下方完整列出全部 81 起事件,每一笔都标注了用户最终的赔付结果。
Key Takeaways
- 就托管风险而言,MEXC 是本次比较中的首选:Hacken 于 2026 年 8 月 10 日独立验证其 BTC、ETH、USDT 与 USDC 储备覆盖率均超过 100%,平台另设有 1 亿美元的守护基金(Guardian Fund)。
- 我们整理了 2011 年 6 月至 2026 年 8 月间,72 个平台共 81 起中心化交易所被黑事件;以各事件发生时的价值计算,损失合计约 51 亿美元。
- 这 81 起事件中,只有 32 起用户获得全额赔付,另有 44 起有人蒙受损失。
- 全额赔付用户的交易所,存活率为 79%;没有全额赔付的,存活率只有 26%。
- 冷钱包与签署流程失守只占事件数的 6%,却造成 44% 的资金损失,平均每起损失约为热钱包被黑的十倍。
- MEXC 并不像 Coinbase、Kraken 或 Gemini 那样在各自的本国市场持有牌照;需要受监管交易对手的读者,应优先考虑这一点。
交易所被黑时,用户第一个问的,通常不是黑客怎么入侵的。
而是钱拿不拿得回来。
这个问题出乎意料地难回答,因为几乎每一份公开的交易所被黑清单,都只记下日期和金额就结束了。
真正决定用户到底有没有损失的“结果”,不是被丢进脚注,就是完全没被提起。
所以我们把结果直接放进表格;而汇总后呈现的整体样貌,正是本文一开头就先给出推荐、而不是留到结尾才说的原因。
遭黑客攻击的交易所中,只有 40% 全额赔付用户
这是多数公开清单都略过的一栏,也让本文出现了最令人不安的一张图。
81 起事件中,有 32 起获得全额赔付。
16 起用户获得部分赔付,14 起完全拿不到赔偿,另有 14 起至今仍在等待结果。
另有 5 起完全没有造成用户资金损失,原因不是攻击被及时拦下,就是受害的是公司资产而非客户资产。
整体趋势确实在改善。
2018 年以来,保险基金、更雄厚的资产负债表,以及处理失当所要付出的商誉代价,都把交易所推往同一个方向。
即便如此,若随机挑选一家遭黑客攻击的交易所,用户能够追回全部损失的概率仍略低于一半。
还有一项相关性,值得谨慎说明。
在所有事件都以全额赔付收场的 29 家交易所中,有 23 家至今仍在运营,存活率为 79%。
至少有一起事件让用户蒙受损失的 43 家交易所中,只有 11 家仍在运营,比例为 26%。
这里的因果关系是双向的,我们不会宣称只有单一方向:实力强的平台付得起赔偿,而愿意赔偿也让平台保持强健。
但这项相关性确实说明了一件事:交易所愿意吸收损失,并不是在做慈善。
支撑它赔偿的实力,同样决定了这家交易所三年后还在不在。
在这 81 起事件中,真正奏效的赔付模式有四种:预先计提的保险资金池(KuCoin);公司自有现金(Coincheck 于 2018 年初向全部 26 万名受影响客户赔付约 4.4 亿美元,但以低于失窃当时价值的固定价格计算);逐步赎回的债务代币(Bitfinex 先将每个账户的余额削减约 36%,并发行 BFX 代币,所有 BFX 代币都在八个月内以美元赎回);以及先由第三方紧急注资、再经独立机构重新验证(Bybit)。
除此之外,没有其他方式能稳定地把钱还给用户。
想了解各平台在近期一起事件中如何逐步应对,请参考我们的交易所事件应对比较案例研究。
为什么在托管风险上,我们首选 MEXC
交易所遭黑客攻击后能否让用户拿回全部损失,跟损失规模大小关系不大。
关键在于,平台在事发之前,是否已具备足以吸收损失的资产负债表与内部控制。
KuCoin 在 2020 年能吸收 2.75 亿美元的损失,是因为早已备有一笔保险基金。
Bybit 在 2025 年通过交易公司的紧急资金注入,几天内就补足了储备,接着请 Hacken 重新验证储备情况,而且提币全程维持开放。
CoinBene 在 2019 年损失了相近的金额,却否认遭黑客攻击,用户最后什么也没拿回来。
对任何正在挑选交易所的人来说,令人不安的是:事后从外部,根本分辨不出这几种平台的差别。
您必须在充值前就先检查,而以下三件事都能事先查证。
第一,由具名第三方定期审计的储备
一次性的快照,无法证明您真正需要用钱的那个月情况如何。
MEXC 每月公布储备金证明(PoR),并由区块链安全公司 Hacken 独立验证;每份报告都由 Hacken 自行发布,而不是交给 MEXC 批准后才公开。
2026 年 8 月 10 日的验证覆盖 27 个网络上的 BTC、ETH、USDT 与 USDC,并确认四种资产的覆盖率全部超过 100%。
第二,专门用来吸收平台端损失的具名基金
MEXC 设有 1 亿美元的守护基金,专门应对本文收录的这类事件,并与用来填补强制平仓亏损缺口的合约保险基金分开运作。
本数据库中,每一家全额弥补损失的平台,都是在事发前就已备妥实际到位的准备金,而不是事后才做出承诺。
第三,能自行验证自己的余额,不必只能相信摘要
MEXC 采用的默克尔树(Merkle tree)机制,让任何用户都能确认自己的余额已计入公布的负债之中;验证工具也已以开源方式公开,因此这项检查不必建立在您相信我们的说法之上。
以下用 2026 年 8 月报告的数字,说明这些储备数据对您的存款代表什么。
MEXC 公布的链上储备经验证为 12,312.75 BTC,对应的用户负债为 4,282.20 BTC。
两者相除,代表用户每持有 1 BTC,背后就有 2.88 BTC 的储备支撑;Hacken 要求每个地址都签署一笔对外交易,借此确认这些储备确实由 MEXC 控制。
USDT 方面,储备为 1,939,932,810.71,负债为 1,691,925,884.19,覆盖率为 114.65%。
这两组数字都公布在公开的储备金证明页面上,并附有钱包地址,任何人只要有一台计算器就能自行验算。
不过,这些数字旁边也必须老实列出两项限制。
Hacken 自己的报告就指出,储备金证明是针对特定时间点链上资产的证明,不应被视为对公司负债或整体财务情况的全面财务审计。
这项提醒是正确的,而且适用于每一家发布这类报告的交易所,我们也不例外。
第二项限制是:MEXC 并不像 Coinbase、Kraken 或 Gemini 那样在各自的本国市场持有牌照;把受监管交易对手摆在第一位的读者,应据此审慎权衡。
每月的独立验证真正能带来的,正是当年 CoinBene 用户所没有的东西:在需要之前,就能自己确认平台的储备情况。
关于 MEXC 是否安全,我们的完整解答详细说明了平台的安全与资产保护措施。
什么才算加密货币交易所被黑(以及 FTX 为何不算)
多数“加密货币交易所被黑”清单,都悄悄混入了三种性质不同的事件,这也是各家统计总额差距如此之大的原因。
因此,本数据库做的第一件事,就是先划清界线。
A 类:中心化交易所托管资产遭入侵
外部或内部攻击者,在未经授权的情况下,取得了交易所代用户保管之资产的控制权。
下方表格只收录这一类事件。
B 类:DeFi 协议与去中心化交易所漏洞攻击
Ronin、Poly Network、Wormhole、Balancer,以及 2026 年至今规模最大的两起事件——4 月的 Drift Protocol 与数天后的 KelpDAO——都属于这一类。
这些事件中没有托管方保管资金,问题出在智能合约或跨链桥的逻辑,事后能采取的补救途径也完全不同。
把它们算进去,会让交易所的损失总额虚增数十亿美元,却无法告诉用户,把币放在交易所账户里究竟有什么风险。
C 类:平台倒闭、挪用资金与卷款跑路
FTX 是最常被误算的案例。
2022 年 11 月约 4.77 亿美元从 FTX 钱包流出时,公司已申请破产;而这场倒闭背后高达 89 亿美元的客户资金缺口,源自挪用,而非入侵。
Thodex 则是卷款跑路。
Zondacrypto 承认一个存有 4,503 枚 BTC 的冷钱包,其私钥在 2021 年经营权易手时从未交接,随后于 2026 年停止处理提币;这是一起完全没有攻击者的治理失灵事件。
2026 年 7 月的 Coldcard 事件则不属于这三类中的任何一类,因为被掏空的是自托管钱包,而不是交易所。
C 类事件吞噬的用户资金,比多数 A 类事件还多,因此将它们排除在外,并不是为了让数字看起来小一点。
而是为了让这些数字真正有意义。
用户在决定把交易资金放在哪里时,需要知道托管方遭黑客攻击的频率,以及遭攻击后会发生什么;而唯有数据集只收录单一类型的事件,这个问题才有答案。
我们的储备金证明与交易所透明度指南,详细分析了 Zondacrypto 一案。
史上 15 大加密货币交易所被黑事件排名
按事发当时的价值排序,并只计入 A 类事件,前 15 大如下。
| 排名 | 交易所 | 日期 | 公开损失金额 | 用户赔付结果 |
| 1 | Bybit | 2025 年 2 月 | 14.6 亿美元 | 全额赔付 |
| 2 | Coincheck | 2018 年 1 月 | 5.3 亿至 5.47 亿美元 | 全额赔付 |
| 3 | Mt. Gox | 2014 年 2 月 | 约 4.6 亿美元 | 部分赔付,清偿仍在进行 |
| 4 | DMM Bitcoin | 2024 年 5 月 | 3.05 亿至 3.2 亿美元 | 全额赔付,平台已结束运营 |
| 5 | KuCoin | 2020 年 9 月 | 2.75 亿至 2.81 亿美元 | 全额赔付 |
| 6 | WazirX | 2024 年 7 月 | 2.35 亿美元 | 部分赔付,由法院监督 |
| 7 | BitMart | 2021 年 12 月 | 1.5 亿至 1.96 亿美元 | 部分赔付 |
| 8 | BitGrail | 2018 年 2 月 | 1.46 亿至 1.7 亿美元 | 根据法院命令部分赔付 |
| 9 | Poloniex | 2023 年 11 月 | 1.14 亿至 1.26 亿美元 | 全额赔付 |
| 10 | Liquid | 2021 年 8 月 | 8,000 万至 9,700 万美元 | 全额赔付 |
| 11 | Nobitex | 2025 年 6 月 | 8,200 万至 9,000 万美元 | 未解决 |
| 12 | AscendEX | 2021 年 12 月 | 7,800 万至 8,000 万美元 | 全额赔付 |
| 13 | CoinBene | 2019 年 3 月 | 4,000 万至 1.05 亿美元 | 未赔付 |
| 14 | Bitfinex | 2016 年 8 月 | 7,200 万美元 | 全额赔付 |
| 15 | CoinEx | 2023 年 9 月 | 5,400 万至 7,000 万美元 | 全额赔付 |
损失金额以事发当日的价值计算,并已于 2026 年 8 月 28 日对照主流媒体报道与持续维护的区块链安全数据库完成核查。若可信来源提供的数字差异明显,则同时列出区间的两端。
这 15 起事件约占本数据库所记录总损失的 60%。
表中有两个现象值得多看一眼。
第一,全额赔付不代表交易所就能存活,DMM Bitcoin 就是例子:它弥补了损失,之后仍将账户转移给另一家日本运营商,最终还是结束运营。
第二,Mt. Gox 至今仍未落幕。
倒闭 12 年后,法院指派的受托人再次将还款期限延至 2026 年 10 月 31 日,目前约有 19,500 名债权人已获清偿。
加密货币交易所被黑史:2011 至 2026 年全部 81 起事件
以下是我们能查证的所有 A 类事件,按时间由新到旧排列。
| 日期 | 交易所 | 所在地区 | 事发时公开损失 | 相同资产现值 | 攻击途径 | 用户赔付结果 | 平台现状 |
| 2026/4/15 | Grinex | 吉尔吉斯斯坦 | 1,300 万至 1,500 万美元 | 不适用 | 热钱包基础设施(平台将损失归咎于国家级黑客,分析人士对此说法存疑) | 未解决 | 已关闭 |
| 2025/11/27 | Upbit | 韩国 | 3,000 万美元 | 不适用 | 可推算私钥的漏洞 | 全额赔付 | 运营中 |
| 2025/8/14 | BtcTurk | 土耳其 | 3,800 万至 5,400 万美元 | 不适用 | 热钱包遭入侵(2026 年 1 月另有一起事件见诸报道,但未列入安全公司持续维护的数据库) | 未解决 | 运营中 |
| 2025/7/24 | WOO X | 全球 | 1,400 万美元 | 不适用 | 钓鱼攻击入侵开发环境 | 用户资金无损失 | 运营中 |
| 2025/7/19 | CoinDCX | 印度 | 4,400 万美元 | 不适用 | 服务器遭入侵 | 用户资金无损失 | 运营中 |
| 2025/7/16 | BigONE | 塞舌尔 | 2,700 万美元 | 不适用 | 供应链攻击(CI/CD) | 全额赔付 | 运营中 |
| 2025/6/18 | Nobitex | 伊朗 | 8,200 万至 9,000 万美元 | 不适用 | 私钥遭窃;资金遭销毁 | 未解决 | 运营中 |
| 2025/5/8 | BitoPro | 台湾 | 1,200 万美元 | 不适用 | 恶意软件 | 未解决 | 运营中 |
| 2025/2/21 | Bybit | 阿联酋 | 14.6 亿至 15 亿美元 | 不适用 | 冷钱包签署流程遭入侵 | 全额赔付 | 运营中 |
| 2025/1/23 | Phemex | 新加坡 | 3,700 万至 8,500 万美元 | 不适用 | 热钱包私钥泄露 | 全额赔付 | 运营中 |
| 2025/1/1 | NoOnes | 全球 | 800 万美元 | 不适用 | 跨链桥漏洞攻击 | 未解决 | 运营中 |
| 2024/9/20 | BingX | 新加坡 | 4,300 万美元 | 不适用 | 热钱包遭入侵 | 全额赔付 | 运营中 |
| 2024/7/18 | WazirX | 印度 | 2.35 亿美元 | 不适用 | 第三方多签托管 | 部分赔付 | 运营中 |
| 2024/6/22 | BtcTurk | 土耳其 | 5,400 万至 5,500 万美元 | 不适用 | 热钱包遭入侵 | 全额赔付 | 运营中 |
| 2024/6/19 | Kraken | 美国 | 300 万美元 | 不适用 | 漏洞赏金计划遭滥用 | 用户资金无损失 | 运营中 |
| 2024/5/31 | DMM Bitcoin | 日本 | 3.05 亿至 3.2 亿美元 | 约 3.59 亿美元(4,503 BTC) | 未经授权的资金流出 | 全额赔付 | 已关闭 |
| 2023/11/22 | HTX | 全球 | 3,000 万美元 | 不适用 | 热钱包遭入侵 | 全额赔付 | 运营中 |
| 2023/11/10 | Poloniex | 全球 | 1.14 亿至 1.26 亿美元 | 不适用 | 热钱包遭入侵 | 全额赔付 | 运营中 |
| 2023/10/17 | Coins.ph | 菲律宾 | 1,200 万美元 | 不适用 | 疑似漏洞攻击 | 未解决 | 运营中 |
| 2023/9/12 | CoinEx | 全球 | 5,400 万至 7,000 万美元 | 不适用 | 热钱包私钥泄露 | 全额赔付 | 运营中 |
| 2023/4/9 | GDAC | 韩国 | 1,300 万美元 | 不适用 | 热钱包遭入侵 | 未解决 | 已关闭 |
| 2022/11/1 | Deribit | 全球 | 2,800 万美元 | 不适用 | 热钱包遭入侵 | 全额赔付 | 运营中 |
| 2022/1/17 | Crypto.com | 新加坡 | 3,400 万美元 | 不适用 | 提币双重验证(2FA)遭绕过 | 全额赔付 | 运营中 |
| 2021/12/11 | AscendEX | 新加坡 | 7,800 万至 8,000 万美元 | 不适用 | 热钱包遭入侵 | 全额赔付 | 已关闭 |
| 2021/12/8 | LCX | 列支敦士登 | 700 万美元 | 不适用 | 热钱包遭入侵 | 全额赔付 | 运营中 |
| 2021/12/5 | BitMart | 全球 | 1.5 亿至 1.96 亿美元 | 不适用 | 热钱包私钥泄露 | 部分赔付 | 已关闭 |
| 2021/8/19 | Liquid | 日本 | 8,000 万至 9,700 万美元 | 不适用 | 温钱包遭入侵 | 全额赔付 | 已关闭 |
| 2021/4/29 | Hotbit | 全球 | 未披露 | 不适用 | 数据库遭入侵 | 用户资金无损失 | 已关闭 |
| 2021/2/1 | Cryptopia | 新西兰 | 4.5 万美元 | 不适用 | 破产清算期间遭入侵 | 未解决 | 已关闭 |
| 2020/12/23 | Livecoin | 俄罗斯 | 未披露 | 不适用 | 服务器遭接管 | 未解决 | 已关闭 |
| 2020/12/21 | EXMO | 英国 | 400 万美元 | 不适用 | 热钱包遭入侵 | 部分赔付 | 运营中 |
| 2020/9/25 | KuCoin | 塞舌尔 | 2.75 亿至 2.81 亿美元 | 不适用 | 热钱包私钥泄露 | 全额赔付 | 运营中 |
| 2020/9/8 | Eterbase | 斯洛伐克 | 500 万美元 | 不适用 | 热钱包遭入侵 | 未解决 | 已关闭 |
| 2020/7/11 | Cashaa | 英国 | 300 万美元 | 约 2,700 万美元(336 BTC) | 提币主机遭植入恶意软件 | 未解决 | 运营中 |
| 2020/2/5 | Altsbit | 意大利 | 7 万至 7.3 万美元 | 不适用 | 热钱包遭入侵 | 部分赔付 | 已关闭 |
| 2019/11/27 | Upbit | 韩国 | 4,900 万美元 | 约 8.55 亿美元(342,000 ETH) | 热钱包遭入侵 | 全额赔付 | 运营中 |
| 2019/11/5 | VinDAX | 越南 | 50 万美元 | 不适用 | 未披露 | 未解决 | 运营中 |
| 2019/7/11 | Bitpoint | 日本 | 3,200 万美元 | 不适用 | 冷热钱包遭入侵 | 全额赔付 | 运营中 |
| 2019/6/27 | Bitrue | 新加坡 | 400 万至 400 万美元 | 不适用 | 访问控制漏洞 | 全额赔付 | 运营中 |
| 2019/6/1 | GateHub | 马耳他 | 1,000 万美元 | 不适用 | 钱包服务遭入侵 | 未解决 | 运营中 |
| 2019/5/7 | Binance | 全球 | 4,000 万美元 | 约 5.59 亿美元(7,000 BTC) | 热钱包、钓鱼攻击与 API 密钥 | 全额赔付 | 运营中 |
| 2019/3/29 | Bithumb | 韩国 | 1,300 万至 2,900 万美元 | 不适用 | 疑似内部人员作案 | 全额赔付 | 运营中 |
| 2019/3/25 | CoinBene | 新加坡 | 4,000 万至 1.05 亿美元 | 不适用 | 未披露;平台否认遭黑客攻击 | 未赔付 | 已关闭 |
| 2019/3/24 | DragonEx | 新加坡 | 100 万至 700 万美元 | 不适用 | 网络攻击 | 部分赔付 | 已关闭 |
| 2019/2/15 | Coinmama | 以色列 | 未披露 | 不适用 | 账号凭证数据泄露 | 用户资金无损失 | 运营中 |
| 2019/1/26 | LocalBitcoins | 芬兰 | 2.7 万美元 | 不适用 | 通过论坛进行网络钓鱼 | 全额赔付 | 已关闭 |
| 2019/1/14 | Cryptopia | 新西兰 | 1,600 万美元 | 不适用 | 钱包遭入侵 | 未解决 | 已关闭 |
| 2018/10/28 | MapleChange | 加拿大 | 5.1 万美元 | 不适用 | 疑似卷款跑路 | 未赔付 | 已关闭 |
| 2018/9/14 | Zaif | 日本 | 6,000 万美元 | 不适用 | 热钱包遭入侵 | 全额赔付 | 已关闭 |
| 2018/6/19 | Bithumb | 韩国 | 3,100 万美元 | 不适用 | 热钱包遭入侵 | 全额赔付 | 运营中 |
| 2018/6/10 | Coinrail | 韩国 | 4,000 万美元 | 不适用 | 未披露 | 部分赔付 | 已关闭 |
| 2018/4/13 | Coinsecure | 印度 | 400 万美元 | 不适用 | 疑似内部人员作案 | 未赔付 | 已关闭 |
| 2018/2/8 | BitGrail | 意大利 | 1.46 亿至 1.7 亿美元 | 不适用 | 疑似内部人员作案与管理疏忽 | 部分赔付 | 已关闭 |
| 2018/1/26 | Coincheck | 日本 | 5.3 亿至 5.47 亿美元 | 不适用 | 网络钓鱼与恶意软件入侵热钱包 | 全额赔付 | 运营中 |
| 2017/12/20 | EtherDelta | 全球 | 100 万美元 | 不适用 | DNS 劫持 | 未赔付 | 已关闭 |
| 2017/12/19 | Youbit | 韩国 | 未披露 | 不适用 | 热钱包遭入侵 | 部分赔付 | 已关闭 |
| 2017/7/5 | Bithumb | 韩国 | 700 万美元 | 不适用 | 员工设备遭入侵 | 部分赔付 | 运营中 |
| 2017/4/22 | Yapizon | 韩国 | 500 万至 500 万美元 | 约 3.05 亿美元(3,816 BTC) | 热钱包遭入侵 | 部分赔付 | 已关闭 |
| 2016/10/13 | Bitcurex | 波兰 | 200 万美元 | 不适用 | 未披露 | 未赔付 | 已关闭 |
| 2016/8/2 | Bitfinex | 香港 | 7,200 万美元 | 约 100 亿美元(119,756 BTC) | 多签机制遭攻破 | 全额赔付 | 运营中 |
| 2016/5/9 | Gatecoin | 香港 | 200 万美元 | 不适用 | 热钱包遭入侵 | 未赔付 | 已关闭 |
| 2016/4/7 | ShapeShift | 瑞士 | 20 万至 23 万美元 | 不适用 | 内部人员作案 | 全额赔付 | 运营中 |
| 2015/2/14 | BTER | 中国 | 200 万美元 | 约 5.72 亿美元(7,170 BTC) | 冷钱包遭入侵 | 部分赔付 | 已关闭 |
| 2015/2/14 | KipCoin | 中国 | 72.8 万美元 | 不适用 | 服务器遭入侵 | 未赔付 | 已关闭 |
| 2015/1/4 | Bitstamp | 卢森堡 | 500 万美元 | 约 20 亿美元(19,000 BTC) | 社会工程攻击入侵热钱包 | 全额赔付 | 运营中 |
| 2015/1/2 | 796 Exchange | 中国 | 27 万美元 | 不适用 | 服务遭入侵 | 部分赔付 | 已关闭 |
| 2014/7/14 | Cryptsy | 美国 | 1,000 万美元 | 不适用 | 恶意软件后门 | 未赔付 | 已关闭 |
| 2014/7/13 | MintPal | 英国 | 200 万至 200 万美元 | 不适用 | 热钱包遭入侵 | 未赔付 | 已关闭 |
| 2014/3/4 | Poloniex | 美国 | 5 万至 6.8 万美元 | 约 600 万美元(76 BTC) | 提币逻辑漏洞 | 全额赔付 | 运营中 |
| 2014/3/2 | Flexcoin | 加拿大 | 60 万美元 | 约 7,200 万美元(896 BTC) | 热钱包遭入侵 | 未赔付 | 已关闭 |
| 2014/2/24 | Mt. Gox | 日本 | 4.6 亿美元 | 约 680 亿美元(850,000 BTC) | 长达数年的入侵 | 部分赔付 | 已关闭 |
| 2014/2/7 | Picostocks | 全球 | 400 万美元 | 不适用 | 冷热钱包遭入侵 | 未赔付 | 已关闭 |
| 2013/11/11 | Bitcash.cz | 捷克 | 10 万美元 | 不适用 | 服务器遭入侵 | 未赔付 | 已关闭 |
| 2013/11/7 | Inputs.io | 澳大利亚 | 100 万美元 | 约 3.27 亿美元(4,100 BTC) | 主机托管账户遭入侵 | 未赔付 | 已关闭 |
| 2013/5/1 | Vircurex | 全球 | 35.2 万美元 | 不适用 | VPS 凭证遭窃 | 部分赔付 | 已关闭 |
| 2012/9/12 | Bitfloor | 美国 | 25 万美元 | 约 20 亿美元(24,000 BTC) | 未加密的私钥备份 | 部分赔付 | 已关闭 |
| 2012/7/13 | Bitcoinica | 全球 | 30 万美元 | 不适用 | 第三方账户遭入侵 | 全额赔付 | 已关闭 |
| 2012/5/11 | Bitcoinica | 全球 | 8.7 万美元 | 不适用 | 服务器与数据库遭入侵 | 部分赔付 | 已关闭 |
| 2012/3/1 | Bitcoinica | 全球 | 22.8 万美元 | 约 30 亿美元(43,554 BTC) | 主机供应商遭入侵 | 全额赔付 | 已关闭 |
| 2011/10/5 | Bitcoin7 | 全球 | 未披露 | 不适用 | 服务器与用户数据库遭入侵 | 未赔付 | 已关闭 |
| 2011/6/19 | Mt. Gox | 日本 | 900 万美元 | 不适用 | 审计人员账号凭证遭窃 | 全额赔付 | 已关闭 |
数据已于 2026 年 8 月 28 日对照主流媒体报道、持续维护的区块链安全数据库,以及各平台自行发布的事件说明(如有)完成核查。金额以事发当日的价值计算。若可信来源提供的总额差异明显,则列出区间,而不择一采用。
2025 与 2026 年:后 Bybit 时代
几份广为引用的交易所被黑清单,至今仍停在 2024 年年中,也就错过了业界史上最大的窃案,以及之后发生的一切。
以金额计算,2025 年是有记录以来最惨重的一年,10 起事件共被盗约 18 亿美元。
光是 Bybit 就占了约 80%,但其余 9 起更值得关注,因为它们透露了攻击手法的转变。
Phemex 在 1 月揭开这一年的序幕:热钱包私钥遭窃,影响范围横跨 16 条区块链。
币托(BitoPro)在 5 月因恶意软件损失约 1,150 万美元,交易所将这起事件归咎于朝鲜黑客。
6 月出现了新情况:伊朗交易所 Nobitex 被盗的约 9,000 万美元并没有被拿去洗钱,而是转入无人能控制的地址,等于把资金销毁以作政治表态,而不是为了牟利而窃取。
7 月则在 9 天内接连发生 3 起事件。
BigONE 遭到供应链攻击,黑客在完全没碰到私钥的情况下篡改服务器逻辑,造成 2,700 万美元损失;BigONE 随后承诺全额弥补用户损失,并在当天恢复交易。
CoinDCX 从一个内部运营钱包损失 4,420 万美元,并以公司资金全部吸收,客户余额丝毫未受影响。
WOO X 则因一名团队成员的设备遭钓鱼攻击入侵,让黑客取得开发环境的访问权,损失 1,400 万美元。
8 月,BtcTurk 在 14 个月内第二次发生重大入侵事件;11 月,Upbit 则在 6 年内第二次遭黑客攻击,这次是因为一个能推算出私钥的漏洞。
Upbit 运营方 Dunamu 承担了这笔损失,冻结部分被盗资金,并于 12 月 6 日恢复充值与提币。
2026 年 7 月,韩国金融监督院(FSS)就这起事件对 Dunamu 启动制裁程序,这也提醒我们:弥补损失与通过监管检验,是两回事。
2026 年交易所相对平静,但加密行业的其他领域可不是如此。
今年至今唯一的 A 类事件,是 4 月的 Grinex,而且情况相当特殊。
这家在吉尔吉斯斯坦注册、遭到制裁的平台宣布暂停运营,并将约 10 亿卢布的损失归咎于西方情报机构;但 Chainalysis 指出,被盗的稳定币几乎立刻就被换成无法冻结的资产,这是洗钱的手法,而非国家级行动。
我们在收录这起事件时附上了这项提醒,而不是照搬平台的说法。
攻击手法排名:看实际造成多少损失
多数相关文章都在重复一个普遍说法:交易所的绝大部分损失,来自热钱包遭入侵。
以事件数量来看,这种说法站得住脚。
但以金额来看就错了,而两者之间的落差,正是这份数据集最有价值的发现。
热钱包与温钱包私钥遭窃是最常见的失守类型,81 起事件中占 31 起,造成的损失占 28%。
冷钱包与签署流程失守只发生过 5 次。
但这 5 起事件,却占了中心化交易所史上被盗总金额的 44%。
热钱包被黑平均损失约 4,600 万美元;冷钱包或签署流程失守平均损失约 4.5 亿美元,大约是前者的十倍。
原因并不神秘,而是结构使然。
热钱包存放的是运营周转资金,一旦遭入侵,被掏空的是当天提币所需的金额。
冷存储存放的则是准备金,一旦守护它的流程失效,暴露在风险中的就是全部余额。
Bybit 是最明显的例子,却也常被误解。
2025 年 2 月的攻击,入侵的并不是热钱包。
攻击者入侵的是用来审核与签署冷钱包例行转账的界面,导致签署人批准了一笔实际内容与屏幕显示不符的交易。
WazirX 在 2024 年也以同样的方式失守,问题出在第三方多签托管安排;而 Coincheck 在 2018 年损失 5.3 亿美元,则是因为把庞大的 NEM 余额放在单一热钱包里,完全没有多签保护。
第三个值得点出的趋势,是攻击已转向链下。
BigONE 的攻击者没有窃取任何私钥,而是篡改了服务器逻辑。
WOO X 的攻击者用网络钓鱼入侵了一台笔记本电脑。
CoinDCX 的攻击者则入侵了一个内部运营账户。
这些攻击都不需要利用区块链或智能合约的漏洞,这也说明,对于交易所用户而言,平台的运营安全如今比底层加密算法的技术安全性更值得关注。
同一批币放到今天值多少
由于早期多数窃案损失的都是比特币,历史损失金额大幅低估了实际被盗走的价值。
Mt. Gox 在 2014 年损失约 4.6 亿美元。
同样的 85 万枚 BTC,放到今天约值 680 亿美元。
Bitfloor 的 2.4 万枚 BTC 在 2012 年被记为 25 万美元的损失,如今约值 19 亿美元。
Bitcoinica 在 2012 年 3 月遭黑客攻击,损失 43,554 枚 BTC,当时通报的金额为 22.8 万美元,如今约值 35 亿美元。
这不是排行榜,也不是在主张那些用户被抢走的是今天的价格。
而是提醒您:托管决策的影响,会跟价格朝同一个方向不断放大。
哪些交易所从未被黑?这种说法有多少参考价值
有几家大型交易所从未披露托管资产遭入侵,而围绕这件事的营销话术,值得比平常更仔细地审视。
Coinbase 自 2012 年运营至今,从未传出平台层级的客户资产遭窃,不过它曾在 2025 年 5 月披露一起客户数据泄露事件,起因是海外客服外包人员遭到收买。
Kraken 常被形容为从未被黑,这种说法接近事实,但并不完全正确。
2024 年 6 月,一名安全研究人员向 Kraken 的漏洞赏金计划报告了一个充值入账漏洞,之后又把漏洞分享给另外两人,两人从 Kraken 的自有资金中提走约 300 万美元。
Kraken 首席安全官除了表示对方拒绝归还资金,还公开称这项要求为勒索;安全公司 CertiK 则对这个说法提出异议,资金在数天后归还。
没有任何客户损失资金,漏洞在 47 分钟内修补完成;这起事件之所以列入我们的表格,是因为一份悄悄略过它的干净记录,可信度反而不如把它纳入的记录。
Gemini 同样没有通报过托管资产遭入侵,不过其 Earn 产品的用户,曾因第三方借贷合作伙伴破产而无法提取资金;那属于 C 类事件,并非黑客攻击。
MEXC 也应放在同一段,以同样的标准审视。
MEXC 自 2018 年运营至今,从未披露类似的托管资产损失;截至 2026 年 8 月 28 日,无论是主流媒体,还是本文汇总时所依据、持续维护的区块链安全数据库,都没有公开报道或记录 MEXC 发生平台层级的托管资产遭入侵事件。
这是一项可供查证的陈述,而不是承诺;而这也是这类说法唯一应有的表述方式。
没有发生事件,只能证明过去。
Coincheck、Bybit 和 KuCoin,在出事那天早上之前,记录也都干干净净。
想了解这些平台在安全记录之外的表现,请参考最佳加密货币交易所完整比较。
充值前,如何检查一家交易所
以下三项检查大约只需十分钟,而本数据库中体质最弱的平台,本来都能借此提前被揪出来。
- 找到储备金报告,并确认日期。 快照日期在本月的储备金证明页面才有意义;去年的只是装饰。请认准有具名审计机构的报告,而不是平台自行公布的数字。
- 自己动手算。 针对您持有的每一种资产,将公布的储备除以公布的用户负债。如果页面只显示百分比,却没有背后的两组数字,这本身就说明了问题。
- 找出具名的损失吸收基金及其规模。 要看的是公开的具体金额,而不是一句“设有保险基金”的笼统说明。
哪些平台有公布这些数字,请参考我们的提供储备金证明的加密货币交易所指南。
值得信任的储备页面,会像上图一样,列出快照日期、背后的两组数字以及钱包地址。
另外还有两个信号,可以帮您分辨哪些小型平台值得使用、哪些不值得。
先确认是否有独立的追踪平台覆盖这家交易所;没有任何第三方评估过的平台,散户根本没有方法可以核查。我们在两篇指南中探讨过这个问题:一篇谈如何审查未被追踪的交易所,另一篇谈在监管机构发出警示后仍持续运营的平台。
接着检查平台在自家事件后说了什么、做了什么(如果发生过的话),因为事后的应对记录,往往比事件本身更能说明问题。
我们对 BigONE 及其替代平台的评测,正是针对一家遭黑客攻击后赔付的平台,做了这样的比较。
我们的观点:一家交易所为什么要公开被黑数据库
我们以交易所的身份公开这份数据库,读者自然有权问:我们能从中得到什么?
老实说,一份完整、准确的托管失守记录,比我们能写出的任何营销页面都更能说明可验证储备的价值,而 MEXC 正好拥有可验证的储备。
也因此,本文坦承的各项限制,都是实话。
MEXC 不像几家费率结构较不具优势的平台那样持有牌照;对于把所在司法管辖区的受监管交易对手当作首要条件的读者来说,这项考量比本文其他所有内容都更重要。
储备金证明只是特定时间点的证明,并非完整审计,这一点我们自己的审计机构也已白纸黑字写明。
而一份干净的事件记录,包括我们自己的在内,描述的是已经发生的事,而不是对未来的保证。
我们愿意背书的范围较窄,却更实用:储备情况每月公布、由独立发布报告的具名第三方验证,而且任何用户只要有一台计算器就能自行验算。
在 81 起事件、15 年的历史中,正是这些特质,把“全额赔付”一栏中的交易所,和“未赔付”一栏中的交易所区分开来。
研究方法与更新政策
事件须符合以下条件才会收录:攻击者在未经授权下,取得中心化交易所代用户保管之资产的控制权,且该事件曾经主流新闻机构或具名区块链安全公司报道,或由平台本身公开披露。
损失金额以事发当日的价值计算。
数据来源的优先级依次为:交易所自身的事后说明;其次是由具名安全公司维护的数据库,包括 SlowMist、Elliptic、Chainalysis 与 TRM Labs;最后才是引用具名链上分析师的主流媒体报道。
若各来源的数字差异超过 15%,我们会公布区间,而不择一采用。
目前有 24 起事件因此以区间呈现。
2016 年以前的记录,依赖的是质量参差不齐的当时报道;几个广为引用的公开数据库,对那个年代标注的日期,甚至与它们引用的报道互相矛盾。
遇到这类矛盾时,我们以原始报道为准,这也是本文部分日期与其他公开时间线不同的原因。
有一起经报道的事件是我们刻意未收录的:2026 年 1 月 BtcTurk 被黑一事,虽有数家媒体引述某安全公司的说法报道,但它并未出现在我们采用的持续维护数据库中,且细节与已证实的 2025 年 8 月事件高度相似。
若之后出现第一手数据来源,我们会再补上。
本页每季度复核一次,并会在事件确认后 48 小时内更新。
欢迎提供更正与补充,有据可查者将在下次复核时纳入。
我们的测评方法适用于整个交易所系列,另有专文公开。
Frequently Asked Questions
有多少加密货币交易所被黑过?
我们记录了 2011 年 6 月至 2026 年 8 月间,共 81 起中心化交易所安全事件。
这些事件涉及 72 个不同平台,因为其中有 7 家不只被黑一次。
史上最大的加密货币交易所被黑事件是哪一起?
2025 年 2 月 21 日的 Bybit 事件,损失约 14.6 亿美元。
攻击者入侵的是冷钱包转账的签署界面,而不是热钱包。
2025、2026 年有哪些加密货币交易所被黑?
2025 年:Phemex、Bybit、BitoPro、Nobitex、BigONE、CoinDCX、WOO X、BtcTurk、Upbit 与 NoOnes。
2026 年至今,已确认的交易所事件只有一起:4 月的 Grinex。
交易所被黑后,会赔付用户吗?
不一定。
81 起事件中只有 32 起全额赔付,概率比多数人以为的更接近掷硬币;您可以先查看交易所的储备情况,而不是等出事才知道答案。
哪些加密货币交易所从没被黑过?
截至 2026 年 8 月,Coinbase、Gemini 与 MEXC 都没有披露过平台层级的托管资产遭入侵事件。
Kraken 在 2024 年的事件中被提走的是自有资金 300 万美元,而非客户资金,这笔钱也在一场公开争议后归还。
干净的记录描述的是过去,无法预测未来。
充值前,怎么判断一家交易所安不安全?
先找一份由具名第三方审计机构出具、标有日期的储备金证明报告,再自己用公布的储备除以公布的负债。
接着确认平台设有损失吸收基金,并附有公开的具体金额。
FTX 倒闭算是被黑吗?
主要不是。
FTX 申请破产后,约有 4.77 亿美元从其钱包流出,但 89 亿美元的客户资金缺口来自挪用,因此 FTX 不列入本数据库。
热钱包和冷钱包,哪个风险比较大?
热钱包遭入侵的频率高得多,81 起事件中占 31 起。
冷钱包与签署流程失守虽然较少见,但每起损失大约高出十倍。
风险警示与地区提示
本页为历史记录,并不保证文中提及的任何平台(包括 MEXC)的安全性。
将资产存放在任何中心化交易所,都意味着承担自托管所没有的托管风险;储备金证明能降低这项风险,但无法消除。
对美国与英国读者而言,本文仅供参考,文中讨论的平台在当地可能无法使用或未获授权。
欧洲经济区的读者请注意:MEXC 并未取得《加密资产市场法规》(MiCA)授权,且在荷兰金融市场管理局(AFM)于 2025 年 9 月 24 日作出决定后,已被列入欧洲证券和市场管理局(ESMA)的不合规机构名单。
日本读者请注意:MEXC 并未向日本金融厅(FSA)注册,且已被列入其未注册机构名单。
本文内容不构成任何投资建议;储备数据、基金规模与平台的服务范围都可能变动,交易前请至官方页面确认最新条款。
充值前先验证
保住资金的用户与没保住的用户之间,差别就在一个习惯:在真正需要之前、而不是事后,就先确认储备情况。
如果检查结果让您决定另寻他处,交易所替代选择完整比较覆盖了各主要平台。
延伸阅读
热门加密动态
查看更多
比特币算力与挖矿难度实时追踪:深度解析BTC网络安全与健康度指标
概述 算力与挖矿难度是观察 Bitcoin 网络状态最直接的两个指标,但它们经常被误读为两件独立的事。实际上两者是同一件事的两种表达:难度由过去的出块速度决定,而出块速度由算力决定。 截至 2026 年 10 月 23 日,按 CoinWarz 的数据,挖矿难度为 140.58T,对应区块高度 972,740,该数值于 10 月 16 日自 132.72T 上调 5.92%。算力方面,按 pick

比特币CME缺口真的每次都会回补吗?BTC期货缺口交易策略全解析
概述 CME 缺口是比特币交易中流传最广的技术说法之一,而它的核心主张是缺口迟早会被回补,因此可以当作价格目标使用。 这个说法现在可以被彻底检验,原因有两个。其一是芝商所已于 2026 年 5 月 29 日把加密货币期货与期权转为 24 小时全天候交易,周末缺口从此不再产生,因此这个现象已经形成一个闭合的完整数据集。其二是已有覆盖 427 个 CME 比特币期货周末的统计研究,样本期为 2017

BTC现货ETF逆势流入承接回撤【MEXC Alpha Trader-行业日报(2026.10.23)】
一、宏观与市场情绪 · 行情数据:BTC $81,257(-2.53%)|ETH $2,389.68(-2.49%)|SOL $103.90(-2.10%) · 市场情绪:资金费率 +0.0044%|恐惧贪婪指数 50(中性) · 风险定价:纳指收跌2.6%、费城半导体指数跌5.67%,科技股估值重估与地缘避险同步压制风险资产;美债收益率下行主要源于避险买盘,非宽松预期。延伸阅读 二、交易信号 /
热门新闻
查看更多相关文章
查看更多
加密货币遭黑客攻击后会怎样?项目方与交易所如何应对
UTC 时间 2026 年 8 月 29 日(星期六)凌晨 1:13,也就是美国的周五深夜,Fogo 基金会表示遭到身份不明人士入侵,4 亿枚 FOGO 代币已被转入恶意人士手中。 区块链照常运行。 但倒计时已经开始。 大多数加密货币黑客事件发生后,都会有一段黄金时间(而且往往很短),让被盗代币仍有机会在卖出前被拦下。 以下说明项目方与交易所如何把握这段时间,以及 Fogo 事件带来了哪些启示。

交易所保护基金不赔的,正是您最可能遇上的损失
交易所保护基金,是交易所从自有资金中拨出的一笔准备金,用来在平台端出问题时补偿用户,例如遭黑客攻击或系统故障。 它不是存款保险,赔不赔由交易所自行决定,而您最可能遇到的那种损失,它几乎从来不赔。 Key Takeaways 在本文比较的平台中,币安(Binance)的 SAFU 基金是规模最大、且有公开披露的用户保护基金,以 1.5 万枚 BTC 存放在任何人都能查询的地址;币安也公开承诺,若基金

Pre-IPO 期货 vs. 标准股票期货:公司上市后会有哪些改变?
MEXC 为尚未公开上市的公司上线 Pre-IPO 期货。 一旦 IPO 完成,MEXC 会自动将该合约转换为标准股票期货合约。 两者在交易画面上看起来几乎一模一样,但在定价、资金费率与风险机制上并不相同。 本文将说明转换后有哪些改变、您的持仓在转换过程中会发生什么事,以及 Pre-IPO 期货存在的意义。 Key Takeaways Pre-IPO 期货追踪一家公司上市前的预期股价;标准股票期货












