MetaEra 联合 CertiK 共同推出 2025 年 5 月安全报告，向行业传递关键的安全信息。
文章作者：0x9999in1, MetaEra
2025 年 5 月，Web 3.0 行业遭遇了一系列安全挑战，包括钱包被盗、代码漏洞、网络钓鱼、访问控制等。与上月相比，5 月的累计损失金额有所下降，达到了 3.0239 亿美元。
5 月主要安全大事件为 Cetus，类型为漏洞利用事件，损失金额达到了 2.2568 亿美元。此外，报告还深入调查并分析了 5 月十大安全事件、5 月按类型划分的事故损失，以期强化用户安全意识，达到用户教育、防范攻击的作用，以下为具体数据和分析结果。
2025 年 5 月十大安全事件
Cetus：损失金额为 $225,680,719.90
2025 年 5 月 22 日，Cetus 被盗，损失总额高达 225,680,719.9 美元，攻击者利用开源库漏洞与溢出检查缺陷，通过压低池价、高价建仓、注入虚高流动性并反复提取资产，成功盗取资金。Cetus 已紧急冻结其在 Sui 上的两个钱包地址（含大部分被盗资金），其余资金已被跨链转至以太坊。
Cork Protocol：损失金额为 $11,961,229.86
2025 年 5 月 28 日，Cork Protocol 因智能合约中的兑换率计算漏洞被攻击，攻击者通过部署恶意合约，利用假代币操控兑换率，触发协议默认值逻辑，从 wstETH:weETH 交易对中窃取约 3,762 wstETH（价值约 1200 万美元），并迅速转换为 4,530 ETH。Cork Protocol 已暂停所有合约进行调查，资金目前仍留在攻击者地址，未进一步分散。
Bitopro：损失金额为 $11,171,840.00
2025 年 5 月 8 日，BitoPro 因热钱包在系统升级与资产迁移过程中的安全漏洞被攻击，攻击者利用旧热钱包的未授权访问，窃取约 11,171,840.00 美元的数字资产（涉及以太坊、Tron、Solana 和 Polygon 网络）。被盗资金通过去中心化交易所（DEX）迅速抛售，并经 Tornado Cash 和 THORChain 等隐私工具和跨链桥洗钱，部分资金转为比特币并存入 Wasabi 钱包。BitoPro 已将资产转移至新钱包，暂停攻击，并委托第三方区块链安全公司追踪资金，同时声称用户资金安全且交易功能未受影响。
Mobius DAO：损失金额为 $2,157,126.18
2025 年 5 月 11 日，Mobius DAO 因智能合约中的数学漏洞被攻击，攻击者利用未经审计的合约中重复乘以 10^18 的错误，导致价格数据膨胀，允许以 0.001 BNB 铸造约 9.73 千万亿 MBU 代币，窃取约 215 万美元的资金。攻击者通过恶意合约执行交易，将代币兑换为 USDT，并通过 Tornado Cash 洗钱。Mobius DAO 尚未公开回应，资金追踪因混币服务而受阻。
Demex Nitron：损失金额为 $950,559.00
2025 年 5 月 16 日，Demex 的 Nitron 借贷市场因废弃的 dGLP 金库遭到基于捐赠的预言机操纵攻击，攻击者通过向低 TVL 的 dGLP 金库捐赠 fsGLP，操纵金库会计数据，虚假抬高 GLP 赎回率，导致 Demex 预言机错误定价，进而从 Nitron 市场窃取约 95.06 万美元的资金（主要为 milkTIA 及其他借贷资产）。Demex 已暂停利息支付，引入更严格的提款保护和基于 TVL 的链上断路器，攻击者地址正在跨链监控中，部分资金追回工作正在进行。
Shiro Neko：损失金额为 $905,512.52
2025 年 5 月 25 日，Shiro Neko (SHIRO）因流动性池智能合约漏洞遭到攻击，攻击者利用价格操纵和闪电贷组合，通过在低流动性池中注入虚假交易数据，触发错误定价，成功从 SHIRO/USDT 交易对中提取 905,512.52 美元的资金。被盗资金迅速通过跨链桥转移至 Polygon 和 Binance Smart Chain，并分散至多个匿名地址。Shiro Neko 团队已暂停受影响的合约，启动紧急审计，并与链上分析公司合作追踪资金流向，但尚未公开具体的追回进展。
Zunami Protocol：损失金额为 $481,279.54
2025 年 5 月 15 日，Zunami Protocol 因价格操纵漏洞遭到攻击，攻击者利用闪电贷和虚假捐赠操控 zunUSD 和 zunETH 流动性池价格，窃取约 50 万美元的资金。攻击者通过 Sushiswap 上的 SDT 池执行价格膨胀，随后将资金转移至 Tornado Cash 进行洗钱。
Dexodus Finance：损失金额为 $290,439.73
2025 年 5 月 26 日，Dexodus Finance 因签名重放攻击和 Chainlink 预言机旧数据漏洞被攻击，攻击者利用闪电贷（约 1 万美元）结合旧签名和过期的预言机价格报告，操纵价格，从杠杆模块中窃取约 30 万美元。Dexodus 团队迅速回收全部被盗资金并存回流动性池，暂停受影响的 V1 合约，并启动 Perps V2 以增强安全性。
Malda：损失金额为 $282,806.43
2025 年 5 月 31 日，Malda 因智能合约迁移机制漏洞遭到攻击，攻击者利用未充分验证的签名 NounProject 价格操纵漏洞，结合闪电贷操作，窃取 282,806.43 美元的资金。被盗资金迅速通过跨链桥转移至以太坊和 Binance Smart Chain，部分资金进入混币服务。Malda 团队已暂停受影响合约，启动安全审计，并与链上分析公司合作追踪资金流向，但尚未公布具体的资金追回进展。
BlockMind：损失金额为 $266,256.74
2025 年 5 月 31 日，Malda 因智能合约迁移机制漏洞遭到攻击，攻击者利用未充分验证的签名 NounProject 价格操纵漏洞，结合闪电贷操作，窃取 266,256.74 美元的资金。被盗资金迅速通过跨链桥转移至以太坊和 Binance Smart Chain，部分进入混币服务。
关于 CertiK
CertiK 始终致力于持续追踪 Web 3.0 领域的安全趋势，迄今为止已进行 70 余次白帽行动，报告 4,000 多起安全事件，发现 11.5 万多个代码漏洞，保护了超过 3,600 亿美元的数字资产免受潜在损失；并通过年度和季度安全报告的形式，向行业传递关键的安全信息。
关于 MetaEra
MetaEra 是 Web 3.0 行业领先的资讯平台和品牌与增长专家。在全球各地区利用全方位优势资源，为您的品牌管理和业务增长提供创意型解决方案和定制化服务。