Anchor多签也没用：一台笔记本，3600万美元就这么没了
如果有人跟你说过“改用多签吧，更安全”——那今天这个故事告诉你，这话只对了一半。
六个密钥中的三个，就存在这台笔记本电脑上。一次入侵，多签阈值就被突破了。
发生了什么
2026年6月9日，Humanity Protocol项目被盗超过3600万美元的项目原生代币。这项目不是小打小闹——背后站着Pantera Capital和Jump Crypto，当时估值超过十亿美元。团队做对了该做的事：没有把金库密钥放在同一个地方。以太坊上的多签要求六签中至少三签。BNB Chain上则是五签中三签。
多签的意义就在于此：你被偷走一个密钥，不够。得偷好几个，而且最好分散在不同的人、不同的设备、不同的地点手里。一台机器被攻破，不应该拖垮整个系统。
但没奏效。以太坊上的六个密钥，全部放在一名员工的同一台笔记本电脑里。那台电脑被黑之后，攻击者手里一下就凑齐了签名所需的全部条件——不是一个密钥，而是直接三个。形式上，“六选三”的条件满足了。只不过这三个全来自同一个源头。
攻击者把桥的所有者改成了自己，把代码换成了恶意版本，一次性转走了约1.41亿枚H代币。在BNB Chain上，他用同样的手法，五选三的密钥也一样搞定——把代码换成无限铸造的版本，凭空又多印了2亿枚代币。
项目创始人后来向CoinDesk解释：部分密钥在配置过程中，不小心被卷进了那台被入侵设备的备份里。没人故意把它们放一起——这是配置过程中无意间发生的。
代币暴跌超过80%。
为什么这不是孤例
看2026年的大型攻击事件，画面似曾相识。4月Drift Protocol被黑，损失2.85亿美元——同样不是代码漏洞，而是针对多签持有者的社会工程攻击，外加移除了更换签名者组成的时间锁。CertiK分析师在2026年上半年总结里直说：几乎一半的损失都集中在两起事件上，而这两起都和密钥管理及基础设施有关，不是智能合约的漏洞。
重点在转移。以前是找代码里的bug。现在越来越多人冲着持有密钥的人去——以及这些密钥物理上放在哪里。
真正的错误在哪
不在签名数量上。六选三，这是正常且合理的方案。错误在于，“分开存放”和“分开配置”不是一回事。三个密钥存在数据库里三个不同的字段，但物理上——在同一块硬盘上，同一个密码保护下，同一个被入侵的进程都能访问。
多签防的是单个密钥被盗。但如果一次设备失窃直接交出多个密钥，多签毫无办法。阈值数的是签名，不数这些签名从哪来的。
能带走什么
如果你有一套多密钥的方案，值得检查的不是“有几个密钥”，而是“它们物理上放在哪，谁能一次拿到不止一个”。一台被入侵的笔记本、一个被黑的云账户、一个能接触到全部的人——这已经不是多签了，这是一个密钥，只是切成几片又放回了同一个地方。
第二点，是关于配置过程本身。密钥意外进了备份，不是有人做了这个决定，而是配置完之后没人检查东西落在了哪里。密钥分离不是配一次就永远有效的。它需要时不时亲手复查一遍：这些密钥是不是真的还分散着，还是半年下来在配置和备份之间，又悄悄聚到了一起。