共有 2120 条记录
事件描述：LegendaryMoneyMonNft 合约中 cliamRewred 函数存在签名验证缺陷。verify() 仅依赖 recoverSigner 检查签名者是否为 admin，且未正确处理 ecrecover 返回 address(0) 的情况。攻击者先将 admin 设为零地址，再使用无效签名（r=0, s=0, v=27）绕过验证，任意领取奖励并提走合约内所有代币，最终通过 PancakeSwap 换成 USDT。
损失金额：$ 85,519.47攻击手法：合约漏洞
事件描述：Joe Agent（$JOE）项目合约存在单函数重入漏洞，攻击者在 _removeLiquidityViaContract 函数中利用 BNB 发送后才更新状态的逻辑，通过约 25 次重入循环，盗取了 62.5 BNB 和约 119.6万 JOE。
损失金额：$ 45,000攻击手法：重入攻击
事件描述：BNB Chain 上老牌 DeFi Launchpad 兼流动性锁定平台 DxSale 的 legacy liquidity locker 合约被利用，约 730 万美元资金（1400 + 个 2021 年老 LP）被抽干。攻击者利用所有者权限，通过自定义 drainer 合约降低费用、将解锁时间回溯至1970 年并提取资金，链上证据指向可能与团队相关地址有关，平台目前保持沉默。
损失金额：$ 7,300,000攻击手法：所有者权限覆盖攻击
事件描述：ONTR 代币项目因合约 onlyOwner 逻辑缺陷（允许 owner == address(0)），导致已 renounce 的代币可被重新获取所有权。攻击者通过隐藏的余额授予逻辑伪造巨额 ONTR 余额，无 totalSupply/mint 日志，然后注入 LP 并换出 WETH 获利。
损失金额：$ 98,200攻击手法：合约漏洞
事件描述：DeFi 协议 Stake DAO 在 Arbitrum 网络上因部署者私钥泄露遭受攻击。攻击者利用获取的特权权限，篡改了与跨链协议 LayerZero v2 连接的 setPeer() 配置，将信任的对端指向自己控制的合约，从而伪造跨链消息，触发了约 5.4 万亿枚 vsdCRV 代币的无限铸造。随后，攻击者将其中的约 1683 万枚 vsdCRV 兑换为约 43.78 枚 ETH，获利约 91,170 美元，并将资金桥接至以太坊主网。
损失金额：$ 91,170攻击手法：私钥泄漏
事件描述：2026 年 5 月 27 日，Superfortune（$GUA）项目发生安全事件。团队原计划将额外解锁的代币转入空投领取合约，但在多签交易执行过程中，目标地址被异常替换，导致约 1498 万 GUA（转出时价值约 1518 万美元）被发送至疑似黑客控制的地址。黑客随后将代币全部抛售，换得约 2784 ETH（当时价值约 566 万美元），并分散至多个钱包。事件导致 GUA 代币价格暴跌约 70-76%。官方初步调查指向多签交易中的地址篡改，虽最初提及“疑似地址投毒”，但因黑客地址此前无任何交互记录，投毒可能性被评估为较低。项目方正在持续调查中，并承诺后续更新。
损失金额：$ 15180000攻击手法：多签地址篡改
事件描述：BSC 上 SKP 遭遇一次 token-side LP balance drain + sync 型攻击。攻击者单笔交易获利约 $212,850（162,854.21 USDT + 75.88 BNB）。根本原因是 SKP 代币逻辑存在缺陷，允许在大额买入后从 Pancake V2 SKP/USDT LP 中额外转出 SKP 余额，并通过 sync() 函数写入错误储备，将 SKP reserve 压至接近零。攻击者利用闪电贷放大操作完成攻击。
损失金额：$ 212,850攻击手法：合约漏洞
事件描述：WUSD.fi / GLOVE 项目在 Ethereum 上遭受激励滥用攻击。攻击者利用 WUSD._englove 奖励机制中缺乏 Sybil 抵抗的问题，通过 EIP-7702 helper 合约和 Morpho USDT 闪电贷反复 wrap/unwrap WUSD，多次 mint GLOVE 代币，然后将 GLOVE 倾销到 Uniswap V3 GLO-USDC 和 GLO-USDT 流动性池中，窃取了约 $200K 的 USDC 和 USDT。
损失金额：$ 200,000攻击手法：女巫攻击
事件描述：一款名为 SquidRouterModule 的第三方 Gnosis Safe 模块被利用，导致 86 个 Safe 钱包在以太坊和 Base 链上约 2 小时内被盗取约 300 万美元资金。该模块与官方 Squid Router 无关，仅因合约名称相似引发混淆。受害者此前将此第三方模块添加为可信 Safe Module，赋予其无需签名即可花费 Safe 内资产的权限。攻击者利用模块的验证漏洞执行任意调用，通过伪造 Uniswap V3 交换将真实代币换成无价值代币并提取资金。Squid 官方确认其核心路由合约（0xce16F...）和用户资金未受影响。
损失金额：$ 3,200,000攻击手法：合约漏洞
事件描述：据链上侦探 ZachXBT 和安全机构 Blockaid 披露，欧洲稳定币发行商 StablR 的两个相关智能合约（Ethereum 上的 EURR 和 USDR）疑似被攻击。攻击者资金通过 Noble 上的 CCTP 注入，已提取约 280 万美元以上，导致两种稳定币严重脱锚。
损失金额：$ 2,800,000攻击手法：私钥泄漏
事件描述：Mure 在 Ethereum 链上的 MureDistribution 代理合约因签名验证访问控制漏洞被利用。攻击者提供恶意合约作为“签名源”，导致 SignatureChecker 直接返回 true 并绕过验证。随后通过 transferFrom 提取了已预授权给代理的 485 万 QUEST 代币，并迅速在 Uniswap 上换成约 5.45 ETH（价值约 $ 11,700）。用户资金和核心支付基础设施未受影响，仅为单个分发合约的逻辑漏洞。
损失金额：$ 11,700攻击手法：合约漏洞
事件描述：Polymarket 发生一起内部私钥泄露事件。一枚使用长达 6 年的旧操作钱包私钥（用于奖励支付系统和市场初始化器）被妥协，导致 Polygon 链上约 $573,200（USDC及POL）资金被提取。Polymarket 官方迅速澄清：并非智能合约或 UMA CTF Adapter 漏洞，用户资金、市场决议及平台核心功能完全安全。团队已立即轮换私钥、撤销权限并协作冻结约 $164,000 资金，净损失约 $409,200。事件由链上调查员 ZachXBT 率先公开标记，目前平台正常运营。
损失金额：$ 573,200攻击手法：私钥泄漏
事件描述：Fractal Protocol 在 Arbitrum 链上的 USDF 金库因智能合约逻辑漏洞被利用。攻击者使用 Aave V3 的 USDC.e 闪电贷，通过 Balancer V2 的 batchSwap 回调，递归调用金库的 deposit（0xb6b55f25）和 withdraw 函数，利用固定每日累积的 tokenPrice（约 1.27 USDC/USDF）和份额舍入会计逻辑缺陷，在重入过程中缺少正确的不变量检查，从而提取了约 13,700 USDC.e。金库的流动 USDC 缓冲从约 14,778 美元降至接近零，此前金库 TVL 约为 97,270 美元。
损失金额：$ 13,700攻击手法：合约漏洞
事件描述：Butter Bridge V3.1（MAP Protocol 和 Butter Network 旗下跨链桥）遭遇攻击。攻击者利用 OmniServiceProxy 合约中 retryMessageIn 函数的 abi.encodePacked 哈希碰撞漏洞（动态字节字段无长度前缀导致不同数据打包出相同哈希），伪造跨链重试消息，绕过验证，在 Ethereum 和 BSC 上铸造了约 1 quadrillion（10^15）MAPO 代币（约为合法流通量 ~2.08 亿的 480 万倍）。攻击者随后将约 10 亿假币倾销到 Uniswap V4 ETH/MAPO 池中，抽取约 $180,000 流动性（≈52.21 ETH）。项目方迅速暂停桥和相关兑换功能，正在进行修复、审计和重新部署。待处理兑换的用户资金安全，剩余约 999 万亿假币仍在攻击者钱包中，存在持续稀释风险。
损失金额：$ 180,000攻击手法：合约漏洞
事件描述：RetoSwap（基于 Haveno 交易协议的 Tor 网络 P2P 多签 DEX，主要用于 Monero 交易）遭到活跃攻击。攻击者在交易过程中发送伪造的、顺序错误的 ACK 消息，冒充仲裁者（arbitrator），诱导客户端将仲裁者节点地址更新为攻击者控制的地址，从而在受害者存入资金之前创建被篡改的多签钱包。攻击主要影响加密货币对换交易。RetoSwap 迅速封禁攻击者的 Onion 地址，通过强制客户端版本升级暂停所有交易，并正在开发补丁及评估用户资金追回方案。共损失约 7,000 XMR。
损失金额：$ 2,700,000攻击手法：协议逻辑漏洞
事件描述：Veil Cash 的遗留固定面额隐私池（Base 链）因 Groth16 验证器配置错误（delta2 == gamma2），导致攻击者可伪造 zkSNARK 证明并多次提取资金，总计约 2.9 ETH。白帽干预及攻击者主动归还后，100% 资金已追回，实时池未受影响。
损失金额：$ 5,000攻击手法：合约漏洞
事件描述：Base 链上的 AI 加密交易代理平台 Bankr 遭遇社会工程攻击。攻击者通过针对 Grok 与 Bankrbot 之间自动化代理信任层的提示注入手法（包括 Morse code 等恶意输入），诱导系统执行未经授权的交易签名，从而访问了 14 个用户钱包并进行资金转移。Bankr 官方暂停相关功能，进行调查，并承诺从国库全额赔偿所有损失。
损失金额：$ 440,000攻击手法：社会工程
事件描述：HermesVault（基于 Algorand 的零知识证明隐私协议，用于实现隐私交易）遭遇攻击。攻击者利用提款验证脚本中密钥重置防御逻辑的漏洞，绕过零知识（zk）验证过程，进行了未经授权的提款。事件发生后，协议永久关闭运营。首席工程师 Giulio Pizzini 确认核心 zk 电路安全，但提款辅助脚本存在漏洞。团队已修复问题，并退还大部分资金，同时启动受影响用户的全额退款流程。
损失金额：$ 29,466攻击手法：合约漏洞
事件描述：Blockaid 检测到 Verus-Ethereum Bridge（Verus 到 Ethereum 跨链桥）正在遭受攻击。攻击者已抽走约 1158 万美元资产（包括约 1625 ETH、103.6 tBTC 和 14.7万 USDC）。部分资金通过 Uniswap 等 DEX 兑换并集中到 drainer 钱包。事件影响跨链桥基础设施，并非 Verus 主链核心协议。此前项目方刚发布紧急更新，但仍未能阻止此次利用。资金目前仍处于攻击者控制中。5 月 22 日，据派盾监测，Verus 跨链桥攻击者已向团队地址返还 4052.4 枚 ETH，约 850 万美元，占被盗总额的 75%，剩余 25% 约 1350 枚 ETH 作为赏金保留在攻击者钱包中。
损失金额：$ 11,580,000攻击手法：合约漏洞
事件描述：Echo Protocol 在 Monad 链上的 eBTC 因管理员私钥泄露遭受攻击。攻击者获得铸币权限，凭空 mint 1000 枚无抵押 eBTC（名义价值约 7670 万美元），用其中 45 枚（约 345 万美元）作为抵押在 Curvance 借出约 11.29 WBTC（约 86.7万美元），随后跨链至以太坊换成 ETH，并将约 384 ETH（约 82.1万美元）转入 Tornado Cash 洗钱。剩余 955 枚 eBTC 仍由攻击者控制，存在进一步风险。
损失金额：$ 821,700攻击手法：私钥泄漏