Verus 跨链桥被盗 1158 万美元！DeFi 骇客灾情失控、 5 月已爆 13 起攻击

Verus 跨链桥惊传遭骇，损失逾 1158 万镁

主打隐私与去中心化的区块链网路 Verus，其以太坊跨链桥昨（18）日遭遇骇客攻击，已损失约 1,158 万美元，官方目前尚未对公众或媒体做出回应。

根据资安公司派盾与 Blockaid 的追查，链上数据显示，攻击者从跨链桥中抽干了 103.6 颗 tBTC 、 1,625 颗以太币（$ETH）以及 14 万 7,000 颗 $USDC，并将这些被盗资产全数兑换为 5,402 颗 $ETH 。

🚨 Community alert:
Blockaid's exploit detection system has identified an on-going exploit on the @veruscoin Verus-Ethereum Bridge (https://t.co/HEwYZqFEfC).
~$11.58M drained so far.

More details in🧵

— Blockaid (@blockaid_) May 18, 2026

安全机构 GoPlus 进一步分析，攻击者疑似向跨链桥合约发送了低价值交易，并呼叫特定功能让合约将储备资产批量转移至骇客钱包，这起事件极有可能是跨链讯息验证伪造、提款逻辑绕过或存取控制漏洞所引起。

慢雾（SlowMist）的创办人余弦也指出，被盗原因可能是攻击者构造了一个伪造的 Merkle 证明，通过了 Verus 以太坊桥（未开源）的验证，于是顺利提走其中资金（ETH/tBTC/USDC），具体细节需要再验证。

看了下，这个 @VerusCoin 的桥被盗约 $11.5M，资金目标沉淀在：https://t.co/K57RnWVO5c

被盗原因可能是攻击者构造了一个伪造的 Merkle 证明，通过了 Verus 以太坊桥（未开源）的验证，于是顺利提走其中资金（ETH/tBTC/USDC）。具体细节需要再验证。

图 from https://t.co/rlIorNk6Bdhttps://t.co/hCZSWedUVV

— Cos(余弦)😶‍🌫️ (@evilcos) May 18, 2026

另外，攻击者的地址在发动攻击前约 14 小时，曾透过混币器 Tornado Cash 转入 1 颗 ETH 作为初始资金。截至目前为止，Verus 官方团队尚未针对此事件发表公开回应。

Verus 案件，发生在 THORChain 出事三天后

Verus 跨链桥的遇袭时间点，恰逢另一知名跨链流动性协议 THORChain 遭骇三天后。

《加密城市》报导，THORChain 在 5 月 15 日证实遭到骇客攻击，损失规模约达 1,080 万美元。异常交易被发现后，官方随即紧急暂停交易与部分跨链功能，并联手安全团队展开调查。

初步调查显示，骇客疑似利用 GG20 TSS 多方签章机制与恶意节点协作漏洞成功得手，不过一般使用者的钱包并未遭到盗取，损失主要集中在协议本身的流动性与内部资产池。

DeFi 骇客目标转向基础设施层，隐蔽性与破坏力拉升

今年 DeFi 不平静。根据 DeFiLlama 数据显示，在 Verus 事件发生前，2026 年 5 月已有 12 个 DeFi 协议遭到攻击，当月累计损失超过 2,000 万美元，算上 Verus 就是 13 个，而且损失规模达到千万美元。

近期多个骇客攻击事件显示，攻击者的目标已经从单纯寻找智能合约漏洞，转向更底层的基础设施层攻击。

跨链协议的风险远高於单链 DeFi，因为其架构涉及跨链资讯同步、验证节点、资产路由与多方签章等多个复杂环节。

如今的基础设施层攻击包含了远端程序呼叫（RPC）、验证网路、预言机与跨链资讯系统。这类攻击往往更难被察觉，且一旦成功，很容易直接影响并转移大规模资金。

以 2026 年初发生的 KelpDAO 遭骇事件为例，该协议在短时间内损失高达 2.92 亿美元。跨链协议 LayerZero 事后发表的报告称，问题核心在于 KelpDAO 的跨链设定采用了单一验证者模式。

骇客借由污染 RPC 的方式，窜改了部分节点的链上状态资讯，导致验证者误判资讯真实性，最终成功伪造跨链资讯并绕过安全检查。 LayerZero 联合创办人针对此事公开承认，协议在设计上存在失误，并表示愿意承担责任。

• 详细报告：LayerZero 首认设计失误：解析 KelpDAO 遭骇 2.9 亿镁背后的安全盲点

危机成转机，DeFi 进入重新检视期

2026 年对 DeFi 领域而言无疑是不平静的一年，但频繁的安全事件同时也是促使业界检讨与成长的契机。

许多标榜去中心化的跨链系统，实际运作时仍高度依赖少数验证节点或中继基础设施。只要单一验证节点遭到污染，攻击者就有机会伪造跨链资讯，进而无中生有地铸造或转移资产。

随著链上资金规模扩大，骇客投入更多资源研究跨链架构弱点，使得基础设施层攻击的难度与潜在破坏规模同步提升。

未来 DeFi 的发展方向预计将从追求高速创新，转向以安全为优先的稳健模式。包含模组化架构、权限隔离、即时风险监控与多层验证系统，都将成为下一阶段基础建设的重点。当跨链协议逐渐成为去中心化金融的重要骨干，市场对其稳定性与安全性的要求势必将更加严格。

同时，大型协议愿意公开承认架构设计缺陷，也代表 Web3 产业正在发展出更成熟的问责文化，而 KelpDAO 事件发生后，产业迅速凑齐 3 亿美元资金拯救坏帐，也展现了以太坊生态的韧性。