本周 Web3 领域安全态势：继 4 月创下逾 6.5 亿美元的单月损失纪录后，5 月的市场防御压力持续处于高位。当前风险点发生偏移：以 Lazarus Group 为代表的国家级黑客组织已将攻击链路从单一的代码漏洞利用，转向针对开发者及核心人员的深层社会工程学渗透。“以人为本”的攻击策略避开了智能合约的既有防线，迫使行业安全范式必须从单纯的代码审计，转向人员管控、业务流程及供应链的全维度安全治理。

基础设施领域的竞争格局亦受此震荡。LayerZero 安全事件引发的连锁反应导致市场对跨链协议信任重塑，逾 20 亿美元的流动性（TVL）流向 Chainlink CCIP 等安全性更高、具备抗攻击韧性的基础设施，市场正在为“安全溢价”进行重新定价。与此同时，司法机构对链上资产流向的深度介入，正实质性地界定“代码即法律”的法理边界。随着法院强制冻结裁决的常态化，DeFi 的非受控扩张时代正加速终结，行业进入合规化治理的新阶段。

• LayerZero就2.92亿美元黑客事件认错，披露内部RPC遭攻陷，并更新安全机制。

• Drift协议遭朝鲜黑客通过6个月社会工程学渗透，损失2.85亿美元。

• KelpDAO、Solv等协议因安全疑虑从LayerZero迁移至Chainlink CCIP，涉及TVL超20亿美元。

• 纽约法官裁定允许Arbitrum DAO转移被冻结的3万枚ETH至Aave，但资产仍受法律限制。

• US DOJ联合多国打击加密诈骗中心，逮捕276人，冻结超7.25亿美元非法资产。

• 欧洲加密扳手攻击（物理暴力）激增，损失已达1.01亿美元，家属成为新攻击目标。

• 币安应美财政部要求加强监控，此前超10亿美元涉伊朗交易被曝光。

• Kraken拟以6亿美元收购稳定币基础设施公司Reap，扩展亚洲支付业务。

• 贝莱德计划推出代币化货币市场基金，连接稳定币与RWA生态。

• AI安全事件频发：MCP服务器投毒致4000万美元损失，Grok钱包因摩斯码攻击被盗20万美元。

• CertiK警告AI agent漏洞年损失可达4500万美元，供应链安全风险加剧。

• 菲律宾央行警告公众勿与未经授权的虚拟资产服务提供商（VASP）交易。

• 欧洲央行行长拉加德称欧元稳定币对银行业和货币政策构成风险。

LayerZero因内部RPC被入侵致2.92亿美元损失

LayerZero Labs承认其内部RPC遭Lazarus Group攻击，且错误允许其DVN作为高价值交易的唯一验证节点，导致Kelp DAO的rsETH跨链桥被攻破。事后，LayerZero强制推行多验证节点（3/3或5/5）配置，并承认安全管理疏漏。

Tydro协议疑遭国家级黑客攻击市场暂停

非托管流动性协议Tydro因第三方预言机报告出现异常而暂停所有借贷市场，Chaos Labs将其定性为疑似国家支持的钱包攻击，引发多家加密公司向更成熟的基础设施迁移。

TrustedVolumes遭攻击损失670万美元

流动性提供商TrustedVolumes因RFQ合约允许任何人自注册为订单签名者，导致攻击者利用此逻辑漏洞从其库存地址盗走670万美元资产。

Step Finance因MCP服务器被黑损失4000万美元

攻击者通过向Step Finance的AI代理（agent）依赖的MCP（模型上下文协议）服务器投毒，操纵代理执行恶意交易，盗走4000万美元，为迄今最大的AI供应链攻击实例之一。

加密赌场Stake.com宕机数小时，疑因服务器种子被暴力破解，导致约3400 BTC被提走。

1inch做市商在以太坊上被利用580万美元

攻击者利用1inch生态中一个流动性提供者的自定义交换机制漏洞，盗走约670万美元。攻击手法与此前一次攻击类似，显示黑客在持续进化。

Homebrew钓鱼广告窃取Mac钱包信息

谷歌搜索“homebrew”的广告结果中出现了钓鱼链接，通过伪造系统密码框诱骗用户输入，并静默安装C2程序持续读写剪贴板，盗取钱包信息。

PumpFun平台Auth Key漏洞致大量钱包被盗

PumpFun平台在邮箱注册环节存在Auth Key漏洞，用户的会话令牌在URL中短暂闪现，攻击者仅凭此即可在无需私钥或授权的情况下完全控制钱包。已造成超500万美元损失。

攻击者利用AI Deepfake技术制作马斯克、特朗普等名人虚假视频，以“双倍返还”、“独家预售”为诱饵进行空投和赠币诈骗。此模式已成为大规模犯罪活动。

FEMITBOT网络利用Telegram小程序进行大规模诈骗

该诈骗网络滥用Telegram Mini Apps，仿冒币安、苹果、英伟达等品牌创建虚假投资平台和网络钓鱼仪表盘，直接内置在Telegram中行骗，并通过广告像素追踪优化攻击。

Microsoft披露新AiTM钓鱼攻击影响3.5万用户

微软曝光一种新型中间人（AiTM）网络钓鱼活动，以“行为准则”为诱饵，可绕过MFA实时窃取用户令牌，已波及26个国家。

发现LBTC项目Lombard Finance的Consortium.sol合约缺少EIP-712域分离，导致Base链上的有效签名可在以太坊上重放，攻击者可借此接管验证者集并无抵押铸造LBTC。

SlopGame合约逻辑漏洞导致通证被免费申领

函数存在逻辑缺陷，攻击者通过组装恶意calldata，能在不支付成本的情况下反复申领SLOP代币奖励。

Cosmos共识层0日漏洞或致节点崩溃

Cosmos网络被发现一个严重的0日漏洞，影响其共识层，虽无法直接盗取资产，但可导致节点停滞，超过80亿美元资产安全暴露于风险下。

AWS访问密钥泄露引发供应链钓鱼攻击

攻击者窃取公开在代码库中的AWS SES服务的访问密钥，通过亚马逊的合法邮件服务发送钓鱼邮件，导致此类邮件能绕过所有标准安全过滤器。

Vidar Stealer回归，针对50+加密钱包

一种名为ClickFix的多阶段攻击链，通过攻破WordPress网站植入伪造的CAPTCHA验证，诱导用户运行命令，从而窃取30余种浏览器和超过50个加密钱包的凭证。

AI供应链攻击：575个恶意技能包在Hugging Face扩散

13名攻击者在Hugging Face、ClawHub等平台上传了575个窃取钱包密钥、浏览器数据的恶意AI技能包，针对开发者进行供应链投毒。

Bitrefill遭黑客攻击，1.85万用户数据泄露

加密礼品卡平台Bitrefill于3月遭Lazarus Group关联组织攻击，泄露用户邮箱、加密地址和IP等元数据。

美财政部私下要求币安遵守监控协议

因有报道称超10亿美元通过币安流向伊朗关联实体，美国财政部已私下向币安发函，敦促其遵守2023年认罪协议中同意的监控计划。

美国证券交易委员会推迟了对超过20只挂钩选举、经济数据等现实事件的预测市场ETF的审查，要求发行方补充产品机制与信息披露细节。

菲律宾央行警告勿使用未经授权VASP

菲律宾央行（BSP）警告公众，与未注册的虚拟资产服务提供商交易可能面临欺诈、安全漏洞和缺乏法律追索权等风险，并表示将联合其他机构限制访问。

韩国加密行业集体反对反洗钱新规

韩国数字资产交易所联盟（DAXA）反对金融委员会提出的AML修订案，认为要求对向境外VASP转账超6800美元的交易均提交可疑报告，将使合规成本增至85倍，难以执行。

中国政法打击利用虚拟货币犯罪的“开盒”案件

北京市海淀区法院宣判一起案件，被告人通过加密通讯工具非法获取超9亿条公民信息，搭建社工库并以虚拟货币出售牟利，主犯被判7年。

泰国巨额加密投资诈骗案受害者要求扩大调查

一起涉及超过13亿泰铢的加密货币投资骗局受害者向泰国特别调查局（DSI）施压，要求扩大对已逃往迪拜的主嫌犯及其同伙（包括其演员妻子）的调查。

欧洲央行行长称欧元稳定币对银行业构成风险

拉加德明确表示，即使是欧元计价的稳定币也会对金融稳定和货币政策传导构成风险，质疑其存在的必要性，并强硬推行数字欧元。

英国央行拟禁止非托管钱包，遭稳定币行业反对

英格兰银行提出一项政策提案，拟禁止稳定币的非托管钱包，此举遭到英国加密货币行业的集体强烈反对。

Kraken拟以6亿美元收购稳定币公司Reap

加密货币交易平台Kraken计划收购总部位于亚洲的稳定币支付基础设施公司Reap，旨在强化其在亚洲市场的支付与法币出入金布局。

预测市场Kalshi完成10亿美元融资

受监管的预测市场平台Kalshi以220亿美元估值完成新一轮10亿美元融资，年化交易量已达1780亿美元，显示出事件交易赛道的急速升温和机构关注。

贝莱德拟推ETH链上代币化货币市场基金

全球最大资管机构贝莱德计划为其约61亿美元的国债基金推出以太坊链上份额，服务于稳定币持有者的资金管理需求，推动RWA赛道发展。

英伟达以3000万股认股权证支持IREN AI扩张

矿企IREN与英伟达达成战略合作，英伟达获得五年内以每股70美元购买最高3000万股的权利，以加速部署最高5吉瓦的AI数据中心。

Michael Saylor首提Strategy或抛售比特币以稳定市场

MicroStrategy联合创始人暗示，为稳定市场，公司可能首次出售部分比特币持仓，这与他长期“永不卖出”的论调形成巨大反差。

Solv Protocol将7亿美元BTC基础设施从LayerZero迁至Chainlink

Solv Protocol出于安全考虑，宣布将其超7亿美元的代币化比特币跨链基础设施从LayerZero迁移至Chainlink CCIP。

多个DeFi协议因Kelp漏洞迁移至Chainlink

Kelp DAO攻击事件后，除Solv外，Tydro等多家DeFi协议也宣布将其预言机和跨链桥基础设施从原有方案迁移至Chainlink，寻求更高安全等级。

链上身份协议Phi宣布将于5月25日停止运营

成立于2022年的知名链上身份项目Phi宣布因团队变动和发展未达预期，将关停其平台，治理代币流动性预计将逐步下降。

世界不确定性指数飙升至历史第三高位

全球WUI指数已超过互联网泡沫和全球金融危机时期，反映出市场对地缘冲突（美伊冲突）、通胀前景及政策走向的极度不安。

美伊冲突与美联储换帅背景下，比特币逆势重返8万美元

在特朗普霍尔木兹海峡护航计划逆转、美联储鲍威尔即将卸任之际，比特币从6万美元低点强势反弹至8万美元，显示出其在宏观博弈中的避险与投机双重属性。

MicroStrategy一季度报告创纪录亏损125.4亿美元

受比特币价格下跌影响，公司计提了巨额非现金减值损失，导致其一季度净亏损高达125.4亿美元，再次凸显其资产负债表与币价高度绑定的风险。

重明链迹丨每周区块链安全要闻（0504-0510）

本周Web3安全局势持续严峻，风险点已发生本质偏移：以Lazarus为首的国家级黑客转向深层社会工程学渗透，避开代码防线，防御范式从“代码审计”向人员管控与供应链治理转型。受LayerZero事件引发的信任震荡影响，超20亿美元TVL流向Chainlink CCIP等高韧性基础设施，体现市场对“安全溢价”的重定价。司法介入正实质性界定“代码即法律”边界，标志着DeFi告别无序扩张步入合规治新阶段。

区块链

安全

新闻资讯

5月Web3安全形势严峻，国家级黑客转向社会工程攻击，跨链协议信任重塑致20亿美元流动性迁移。LayerZero、Drift等协议遭攻击损失超5亿美元，AI供应链攻击频发。监管趋严，美国冻结7.25亿美元非法资产，欧洲央行警告稳定币风险。贝莱德拟推代币化基金，Kraken6亿美元收购Reap拓展亚洲市场。

数据泄露

数据中心

加密货币

智能合约

服务器

WordPress

DeFi

2026采购季 | AI焕新·智启新局

blockchain-catalog

4核4G3M云服务器 新用户低至38元/年！

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

重明链迹丨每周区块链安全要闻（0504-0510）

重明链迹丨每周区块链安全要闻（0504-0510）

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐