【安全月报】| 5 月加密货币领域因安全事件损失约 1.18 亿美元

2026年5月区块链安全事件总损失约1.18亿美元，跨链桥攻击集中爆发，8起事件累计年损失达3.286亿美元。
主要攻击手段：签名密钥泄露、验证绕过、隐藏后门等非代码漏洞，多签私钥泄露成突破口。
典型案例：Gravity Bridge(540万美元)、THORChain(1070万)、Verus跨链桥(1158万)、DxSale(730万)、Wasabi(570万)、StablR(280万)。
钓鱼诈骗/Rug Pull：假冒TronLink扩展、韩国首例DEX刑事起诉(CATFI)、假冒Uniswap广告、Jupiter空投钓鱼。
朝鲜Lazarus集团前四月占损失76%，国家级威胁常态化。
建议：个人远离高回报币、警惕钓鱼授权；项目方采用多签+时间锁；行业推进去中心化验证。

零时科技每月安全事件看点开始了！据多家区块链安全监测平台统计，2026年 5 月加密货币领域安全态势呈现“跨链桥攻击集中爆发，DeFi 协议漏洞持续高发”的鲜明特点，跨链桥成为当月黑客攻击的重灾区。5 月因安全事件造成的总损失约 1.18 亿美元，其中协议黑客攻击与合约漏洞相关的损失约 1.15 亿美元，钓鱼诈骗及 Rug Pull 相关损失约 300 万美元。

协议黑客攻击共发生 16 起，其中跨链桥攻击多达 8 起。据统计，2026 年以来跨链桥相关重大攻击累计损失已达 3.286 亿美元。前四个月加密黑客损失合计 6.51 亿美元，高达 76 %与朝鲜 Lazarus 集团相关。国家级黑客从“一锤子买卖”升级为长期渗透的复合式攻击，对行业构成持续威胁。

黑客攻击方面

典型安全事件6起

• Gravity Bridge 签名密钥泄露攻击

时间：5 月 30 日

损失金额：约 540 万美元

事件详情：连接以太坊与 Cosmos 生态的跨链桥 Gravity Bridge 因签名密钥疑似遭入侵损失约 540 万美元，验证者于当日暂停了该跨链协议。攻击者通过社会工程学手段获取了跨链桥的签名密钥，利用该权限直接从以太坊端金库中提取了约 430 万 USDC、274 枚 WETH 等资产，随后通过 ChangeNow 等平台快速洗钱。验证者于当日紧急暂停了跨链协议。这是 2026 年第八起重大跨链桥攻击，至此八起事件累计损失已达 3.286 亿美元。

• THORChain Asgard 金库攻击

时间：5 月 15 日

损失金额：约 1070 万美元

事件详情：去中心化跨链 DEX THORChain 的六个 Asgard 金库中有一个被攻破，攻击者盗走约 36 枚 BTC 及其他代币，总价值约 1070 万美元，攻击跨越 BNB Chain、以太坊、Solana 等多条区块链。平台自动检测到异常后立即暂停签名活动，但损失已造成。

• Verus-以太坊跨链桥验证绕过攻击

时间：5 月 12 日

损失金额：约 1158 万美元

事件详情：攻击者通过单笔交易利用验证绕过漏洞，从 Verus-以太坊跨链桥盗走约 1158 万美元资产。该跨链桥曾宣称能抵御此类漏洞，但攻击者仍成功突破，资金随后被追溯至 Tornado Cash 混币。

• DxSale 隐藏后门攻击

时间：5 月 12 日

损失金额：超 730 万美元

事件详情：攻击者利用 DxSale 在 BNB Chain 上的遗留流动性锁定合约中的隐藏后门，盗取约 730 万美元，影响约 1400 个流动性提供者。漏洞与一个特权的“setFee”函数结合回溯日期锁定配置，且初始资金源自 Bybit，安全公司指出可能涉及内鬼。

• Wasabi Protocol 基础设施配置漏洞

时间：5 月 10 日

损失金额：约 570 万美元

事件详情：攻击者利用 Wasabi Protocol 的 AWS 基础设施中 Spring Boot Actuator 配置漏洞，窃取控制 EVM 智能合约的私钥，从相关合约中盗取约 480 万美元用户资金及 90 万美元协议金库资金。攻击链始于一台公网分析服务器的 heap dump 未受密码保护，导致凭证泄露。

• StablR 多签私钥泄露攻击

时间：5 月 24 日

损失金额：约 280 万美元

事件详情：稳定币发行商 StablR 的铸币多签账户中某一所有者私钥泄露（该账户仅需 1/3 签名即可操作）。攻击者将自己添加为所有者并替换其他签名人，随后铸造 835 万枚 USDR 和 450 万枚 EURR，由于链上流动性不足，实际套现约 280 万美元，导致两种稳定币双双脱锚。

Rug Pull / 钓鱼诈骗

典型安全事件4起

(1) 假冒 TronLink Chrome 扩展钓鱼攻击

损失金额：暂未披露

事件性质：5 月 11 日，攻击者伪造假冒 TronLink 的 Chrome 扩展，利用 Unicode 与西里尔字母同形文字伪装品牌名。扩展安装后仅加载远程钓鱼页面，窃取助记词、私钥、密钥文件及密码，并通过 Telegram 机器人实时外传。扩展内置反分析及地理重定向功能以规避检测。

(2) 韩国首例 DEX Rug Pull 刑事起诉 - CATFI 案

损失金额：约 65 万美元（ 256 名投资者确认受损）

事件性质：5 月 27 日，韩国检方对 Solana 迷因币 CATFI 的 Rug Pull 提起公诉，系该国首次对 DEX 骗局进行刑事起诉，适用《虚拟资产用户保护法》欺诈罪名。主谋以“EtherFather”化名伪装独立推荐人，通过多钱包分散持仓卷款跑路，标志 DEX 不再处于司法真空地带。

(3) 假冒 Uniswap Google 广告钓鱼攻击

损失金额：超 40 万美元

事件性质：5 月 26 日，攻击者通过 Google 广告投放仿冒 Uniswap 官网的钓鱼网站，诱导用户连接钱包并签署恶意授权，从而转移资产。至少造成 40 万美元损失，暴露搜索引擎广告成为钓鱼攻击重要入口。

(4) 冒充 Jupiter 空投钓鱼骗局

损失金额：暂未披露

事件性质：5 月 22 日，黑客冒充Jupiter Exchange，向Solana用户宣称可领取假空投“CJUP”代币，诱导用户连接钱包到恶意网站并签署交易，直接清空钱包内资产。安全机构发出严重警告，呼吁用户切勿连接可疑网站。

总结

2026 年 5 月区块链安全事件核心特征：跨链桥持续失守，私钥泄露成主要突破口，国家级威胁常态化。

本月总损失约 1.18 亿美元，较 4 月历史高点显著回落。但跨链桥攻击发生8起，年内累计损失已达 3.286 亿美元，验证机制的系统性弱点仍未解决。攻击手法上，签名密钥泄露、配置漏洞、隐藏后门等“非代码层面”手段成为主流。朝鲜 Lazarus 集团前四月占比高达 76%，国家级复合攻击已成头号威胁。

值得关注的是，韩国首次对 DEX Rug Pull 提起刑事公诉，为全球加密监管提供重要参考。跨链桥的信任集中、验证单点等弱点正在被持续“提款”，每一次攻击都在警示：安全，不只是审计一次就够了。

零时科技安全团队建议：

• 个人：远离高回报迷因币，警惕空投钓鱼链接，不随意签署授权，定期清理钱包授权。

• 项目方：摒弃单点信任，采用多签+时间锁，设置合理阈值（如2/3），排查非代码环节漏洞，持续监控而非一次性审计。

• 行业：推进多 DVN、多 RPC 等去中心化验证标准，加强 APT 威胁情报共享，关注加密司法动态。