机构投资转向运营安全：审计之外的隐性风险成焦点

核心提要：随着加密项目攻击事件频发，机构投资者正突破传统智能合约审计框架，将注意力转向密钥管理、基础设施韧性与治理机制等深层安全维度。据Hacken报告，88.3%的资金损失源于非代码层面漏洞，推动尽职调查向运营韧性演进。

投资决策重心从代码审计延伸至运营韧性

在缺乏有效预测能力的传统信任指标背景下，机构资本正重新定义安全评估边界。根据Hacken发布的《2026年第二季度安全与合规报告》，尽管1427个被追踪项目中仅有9%部署了第三方监控，且仅4%同时具备漏洞赏金计划、持续监控与审计支持，但高达88.3%的被盗资金来自密钥泄露、签名者失效及基础设施缺陷等非合约范畴。

运营透明度缺失将削弱项目融资竞争力

无法提供持续运营安全证据的项目，正面临更高的市场质疑。报告指出，此类项目不仅难以吸引长期资本，更可能遭遇保险拒保、交易对手回避等连锁反应。Abraxas Capital风险管理主管费德里科·巴吉奥蒂强调，当风险敞口远超所承载资本规模时，即使项目表面吸引力强，也会成为拒绝投资的核心依据。穆迪评级数字经济战略负责人拉吉夫·巴姆拉则指出，运营韧性已从辅助指标升格为评估安全与治理水平的关键切入点。

尽调范围扩展至访问控制与系统弹性

当前机构尽职调查已覆盖签名者权限变更、抵押品结构、第三方依赖链、应急响应机制以及审计时效性等多维要素。Abraxas公司明确将时间锁配置、提款白名单设定、多方共管机制及单点密钥依赖列为高危审查项。这一趋势亦反映于监管实践——7月10日BitGo首席运营官乔迪·梅特勒表示，欧洲监管依据《数字运营韧性法案》（DORA）强化对托管服务商的访问控制、灾难恢复与业务连续性要求，促使客户提出更深入的技术问询。

值得注意的是，本季度遭攻击的14个项目均曾通过智能合约审计，但损失主要源自签名设备、跨链桥验证节点、后端服务、废弃合约残留接口及管理密钥失控等未被传统审查涵盖的环节。研究样本基于CoinGecko信任评分前50中心化交易所上市项目，剔除封装资产、稳定币及实物代币化产品，数据源依赖公开披露的防护措施，私人协议安排或未纳入统计。