同時關聯該項目與事件的快訊
慢霧創始人餘弦發文分析稱，BNB Chain 上 OLPC / LABUBU 流動性池發生的約 110 萬美元資金損失事件存在可疑之處，被盜是因爲 OLPC/LABUBU 交易對嚴重失衡，會失衡的原因是 OLPC 有一處“漏洞”被利用，_update 裏滿足條件時可以 burn 掉 value * decimalsValue 數量的 OLPC，正常來說 decimalsValue 是 1，但攻擊前約 46 天被 owner 改爲一個超大值 7326680472586200649，幾天後 OLPC owner 把 owner 權限丟棄，成爲 0 地址。今天，攻擊者利用該 decimalsValue 超大值觸發 Pair reserve burn 後，小額 OLPC 即可獲取大量 LABUBU。攻擊者最終低成本換出 111.5 萬枚 USDT，可疑點就在 decimalsValue 的設置上，OLPC owner 爲何會做這個超大值設置。
PancakeSwap 針對 BNB Chain 上 OLPC/LABUBU 流動性池相關異常情況發佈公告稱，團隊已關注到社區報告，並展開初步調查。PancakeSwap 表示，目前初步確認不存在其智能合約層面的問題，相關事件仍在進一步覈查中。團隊將持續跟進並在獲取更多信息後公佈後續進展。官方提醒用戶，當前應以 PancakeSwap 官方渠道發佈的信息爲準，謹防未經驗證的消息傳播。
據 PeckShield 監測，PancakeSwap 上 BNB Chain 的 OLPC/LABUBU 流動性池遭遇攻擊，攻擊者共竊取價值約 110 萬美元資產。事件發生後攻擊者已將盜取資金跨鏈轉移至以太坊，隨後向混幣協議 Tornado Cash 存入 633.4 枚 ETH。此外，攻擊者還向一個已棄用地址發送了 0.0221 枚 BNB 和 0.0411 枚 ETH，目前相關攻擊細節及資金流向仍在持續追蹤中。
據鏈上分析師 PeckShield（@PeckShieldAlert）監測，Humanity 攻擊者地址已將 130 枚 ETH（約 22.06 萬美元）從以太坊跨鏈至 BNB Chain（381 枚 BNB）。
慢霧發文表示，140 餘個 Mastra 相關 npm 軟件包遭供應鏈攻擊，受影響版本會引入惡意依賴 [email protected]，並在安裝階段觸發攻擊者控制的代碼執行。
Humanity 公佈 $H 事件恢復方案：Ethereum、BNB Smart Chain 和 Humanity Mainnet 上的舊版 H 已停止使用，新的 Ethereum ERC-20 版 H 將按攻擊前快照向合資格持有者 1:1 空投。攻擊者及相關地址已被排除。
據鏈上安全平臺 Blockaid（@blockaid_）監測，MILC Platform 跨鏈橋在 BNB 鏈及以太坊鏈上發生私鑰泄露事件。攻擊者利用歷史橋接管理員錢包，向攻擊者地址授予 DEFAULT_ADMIN_ROLE 及 MANAGER_ROLE 權限，隨後從橋接合約中提取資產，並將管理控制權轉移至攻擊者錢包。目前已確認損失約 97,003 枚 USDT（BNB 鏈）及約 39.21 枚 ETH（以太坊鏈，經 Rhino.fi 轉出），合計損失約 16.1 萬美元。
Humanity 發佈 6 月 8 日至 9 日 H 代幣安全事件覆盤報告稱，本次事件並非智能合約漏洞，而是開發人員設備遭惡意軟件入侵導致私鑰泄露所致。 Humanity 表示，攻擊者目前仍掌握 ETH 橋及 BNB Chain 代幣的 ProxyAdmin 權限。初步調查確認，一名同事的設備遭惡意軟件感染，攻擊者藉此獲得管理員熱錢包私鑰及 6 個 Gnosis Safe 簽名私鑰。團隊已聘請外部安全機構開展取證調查，並表示正在制定受影響用戶恢復計劃。
Syscoin 發佈跨鏈橋事件初步覆盤稱，因橋接流程中的驗證問題，攻擊者利用交易證明校驗異常，在 UTXO 側通過受影響的橋接路徑異常生成約 50 億枚 SYS 。
SlowMist 在 X 平臺發文表示，其威脅情報系統監測到名爲 IronWorm 的新型 Rust 供應鏈惡意軟件活動，該惡意軟件通過惡意 npm 包積極攻擊開發者環境及 Web3/加密生態。潛在攻擊行爲包括憑證竊取、錢包助記詞與密碼竊取、GitHub 倉庫篡改、惡意包發佈、CI/CD 密鑰竊取、基於 Tor 的指揮與控制，以及通過 eBPF rootkit 實現隱蔽駐留。SlowMist 建議安全團隊審計倉庫中的回溯提交、可疑分支、異常構建鉤子，以及歸屬於 claude、dependabot、renovate 或 github-actions 等自動化身份名下的提交；移除或棄用受影響包版本，發佈清潔版本，輪換所有暴露的密鑰與令牌，審查 GitHub Actions 構建產物，並從清潔鏡像重建可能受感染的開發者或 CI 系統。該威脅由 JFrogSecurity 發現並分析。
據官方公告，6 月 3 日，Trust Wallet 宣佈聯合 BNB Chain、CoinMarketCap 正式啓動 "BNB Hack: AI Trading Agents "黑客松，總獎池達 3.6 萬美元，Trust Wallet Agent Kit 爲本次賽事的鏈上執行核心技術棧。本次黑客松也是 Trust Wallet Agent Kit 首次以核心基礎設施角色，全面融入頂級 AI Agent 黑客松賽事體系。本次黑客松設兩大賽道： "自主交易 Agent "（獎池 $24,000，設 5 名獲獎）與「策略技能 Strategy Skills」（獎池 $6,000，設 3 名獲獎），另設三項合作伙伴專項獎各 $2,000。在「自主交易 Agent」賽道，參賽者須藉助 Trust Wallet Agent Kit 實現本地自託管簽名、自主模式運行及鏈上交易執行，在 PancakeSwap、BSC 永續合約等 BNB Chain 原生場景中落地；「策略技能」賽道無需執行層，參賽者基於 CoinMarketCap MCP 的行情、技術指標、鏈上數據、情緒與新聞等 12 類數據工具，構建可回測的策略方案。賽道一以實盤 PnL 爲核心評判依據，設最大回撤上限作爲風控門檻；賽道二由評審團從技術執行、原創性、現實價值與演示呈現四個維度綜合評分。Build 窗口爲 6 月 3 日至 6 月 21 日，交易窗口爲 6 月 22 日至 28 日，獲獎結果將於 7 月 6 日當週公佈。獲獎團隊除現金獎勵外，還將獲得 CoinMarketCap Pro API 訂閱積分、CMC Labs 導師輔導及 BNB Chain Kickstart 生態支持包。
據鏈上分析師 PeckShield（@PeckShieldAlert）監測，約 19 小時前，BNB Chain 上的 TesseraDao（@TesseraDao）遭受攻擊，黑客惡意鑄造 9900 萬枚 TSR 並隨即拋售，導致 TSR 價格暴跌 99%。攻擊者隨後將所得 TSR 兌換爲約 250 萬美元 USDT，並將資金跨鏈轉移至以太坊，目前已通過 TornadoCash 完成 1,285.5 枚 ETH 的洗錢操作。
據 The Block 報道，DeFi 借貸協議 Radiant Capital 宣佈將正式關閉運營。該協議於 2024 年 10 月遭遇黑客攻擊，損失約 5100 萬美元，攻擊者通過在 Arbitrum 和 BNB Chain 上部署後門合約獲取未授權訪問權限。此前，該協議在 2024 年初還曾遭受閃電貸攻擊，損失約 1900 枚 ETH（約 450 萬美元）。 經過 18 個月的恢復嘗試，Radiant Capital 表示既未能追回大量被盜資金，也未能成功融資，"DAO 已無可行的前進路徑"。目前協議將進入"維護狀態"，前端及智能合約保持可訪問，用戶仍可進行提款、還款及倉位管理操作，若後續追回任何資金將返還給受影響用戶。
DxSale.Network 在 X 平臺發文回應此前安全事件，其中披露近期漏洞源自幣安智能鏈（BSC）新推出的原子交易功能，影響了 2021 年上線的 v1 鎖倉合約。團隊已定位問題來源，並表示 v2 及以上版本鎖倉合約完全安全，且已通過 Certik 審計。用戶可放心，v2 及以上鎖倉資產不受影響。
據鏈上偵探 Eye 監測，DxSale 疑似從 2021 年鎖定在 BNB Chain 上的部分早期流動性池中轉出約 730 萬美元，涉及超過 1,400 個 LP ，並稱相關攻擊包含靜默式所有權轉移、超過 80 次錢包跳轉。 Eye 稱，攻擊中使用的新錢包地址 20 小時前曾獲 Bybit 轉入 104 枚 BNB ，在流動性池被轉出後又收到約 1,200 枚 BNB 。隨後，該地址累計向兩個錢包轉出約 3,400 枚 BNB ，相關資金已通過多個 Binance 充值地址完成出金。
據鏈上分析師 PeckShield（@PeckShieldAlert）監測，SlowMist 旗下威脅情報系統 MistEye 檢測到一起針對開發者的跨註冊表供應鏈攻擊，惡意包已擴散至 npm、PyPI 和 Crates.io 三大註冊表，涉及 34 個以上惡意包及 384 個以上相關版本。 攻擊目標覆蓋加密貨幣、DeFi、Solana、Sui/Move 及 AI 開發者社區，可能導致加密錢包、SSH 密鑰、雲憑據、GitHub/AWS 令牌、瀏覽器數據及開發者機密信息遭竊。部分惡意載荷還嘗試通過 .cursorrules、CLAUDE.md、Git hooks、cron、systemd 及 SSH 等方式實現持久化駐留。SlowMist 建議立即移除受影響包、隔離受影響系統、輪換暴露憑據，並從乾淨鏡像重建 CI 環境及開發者機器，同時全面審查 GitHub、雲端、SSH 及錢包相關活動。
Blockaid 在 X 平臺發文表示，漏洞檢測系統發現 Verus 以太坊跨鏈橋遭受攻擊，目前已造成約 1158 萬美元損失。
鏈上分析師 Specter 表示，X 平臺上投資者 Keith Gill、Matt Furie 及 WinRAR 賬號遭劫持事件均與同一黑客組織有關。該組織通過劫持賬號推廣代幣、跨鏈洗錢等方式累計獲利超 1400 萬美元，資金流涉及 Solana、BNB Chain、以太坊、Tron 與 Hyperliquid 五條鏈。Specter 稱，該組織還可能與 2024 年一起價值 245 萬美元的 wstETH 釣魚攻擊有關。調查發現，黑客曾利用被盜賬號發行 Pepe 仿盤代幣，並內置 2% 自動手續費機制獲利；相關資金流與 bnbshare.fun 平臺及多個 Solana、Tron、以太坊地址存在關聯。分析還顯示，多個代幣（包括 USOR、VDOR、DROID、WCOR、UGOR）曾被用於拉高市值後拋售歸零。
Chainalysis 在 X 平臺發文表示，THORChain 被盜之前，疑似攻擊者相關錢包已連續數週通過 Monero、Hyperliquid 和 THORChain 轉移資金，攻擊者關聯錢包早在四月底時就通過 Hyperliquid 和 Monero 隱私橋入金 Hyperliquid 頭寸，隨後資金被兌換爲 USDC 並轉至 Arbitrum，再橋接至以太坊，部分 ETH 隨後轉至 THORChain 成爲新加入的節點質押 RUNE，該節點被認爲是攻擊源。之後，攻擊者將部分 RUNE 橋接回以太坊並拆分爲四條鏈路，其中一條直通攻擊者，經過中間錢包轉移後，在攻擊前 43 分鐘向最終接收被盜資金的錢包轉入 8 ETH，其他三條鏈路資金則反向流動。5 月 14 日至 15 日，這些錢包再次將 ETH 橋接回 Arbitrum，存入 Hyperliquid，通過相同隱私橋轉入 Monero，最後一筆交易發生在攻擊開始前不足 5 小時。截至本週五下午，被盜資金暫未動用，但攻擊者已展示其嫺熟的跨鏈洗錢能力，Hyperliquid 到 Monero 路徑可能成爲下一步動作。
隨着 Kelp DAO 的 LayerZero 橋遭遇 2.92 億美元被盜，跨鏈基礎設施安全再受關注，DeFi 協議 Kelp DAO、Solv Protocol、Re、及加密交易所 Kraken 均已採取類似遷移措施，這波外流的總價值約達 40 億美元。去中心化金融協議 Lombard 成爲最新加入遷移潮的項目，宣佈將逐步棄用 LayerZero，並將超過 10 億美元的比特幣抵押資產遷入 Chainlink 的跨鏈互操作協議（CCIP）。Lombard 發行的比特幣相關代幣包括 LBTC 和 BTC.b。據悉 Lombard 首批遷移資產覆蓋 Solana、Etherlink、Berachain、Corn 和 TAC 鏈，同時 Morph 和 Swell 上的 LayerZero 使用也將終止。截至目前，LayerZero 方面暫未回應置評請求。（CoinDesk）