last
lista os últimos logins que incluem a inicialização do sistema porque todos os grupos de processos (sessões) geram uma entrada no arquivo de sessão e o primeiro processo (init) cria o primeiro grupo de processos durante a inicialização. A última coluna na saída representa a duração da sessão do sistema inteiro entre as diferentes inicializações.
A única exceção que eu sei que pode causar essa discrepância é uma alteração de hora ou data.
O "05:01" representa o tempo de logout da sessão. Você pode usar o parâmetro -F
para ver a listagem em tempo integral, que é um pouco mais clara.