DxSale安全漏洞概述
DxSale遭遇了一起价值730万美元的安全漏洞，攻击者利用流动性锁定合约中的隐藏后门，提取了由1400多名流动性提供者在BNB链上锁定的BNB。根据区块链安全公司PeckShield的报告，攻击者控制的地址“0xC457”将约187万美元的BNB转移到两个主要钱包，然后将资金发送到与Binance相关的多个存款地址。
漏洞发生的背景
此次事件影响了自2021年该平台广泛用于BNB链上的代币发行以来，锁定在DxSale合约中的流动性。区块链分析师Tahax的初步发现表明，这次漏洞可能源于攻击发生前几个月的合约所有权变更。
“漏洞是如何发生的？269天前，DxSale的部署者悄悄将锁定合约的所有权转移到一个新钱包……没有公告，没有迁移通知，只有一次静默的交接。”
破坏性消息：刚刚从OG LPs中提取了约730万美元。DxSale是2021年最大的流动性锁定平台，数亿资金曾在其中锁定，甚至$SAFEMOON也曾在此锁定。团队现在正在混合这些资金，似乎使其变得不可追踪。
攻击者的操作手法
根据Tahax的进一步追踪，所有权历史显示，超过80笔额外交易被用来在钱包之间转移控制权，最终到达被识别为“0xC45”的地址，该地址随后执行了大规模的BNB提取。分析师还指出，攻击者的钱包是新创建的，并最初通过加密交易所Bybit进行资金注入。
Web3安全公司Coinsult的进一步分析将此次漏洞与特权合约功能和操控的锁定期联系在一起。根据Coinsult的说法，这种组合使得本应保持锁定的资金被视为可提取余额。
安全隐患的加剧
关于DxSale锁定合约的“后门”，我们在链上进行了分析。我们的看法是：提取者地址为0xc2efbd94…01e4718，未验证，solc 0.8.33，约9小时前由0xC4574DD…aaFA69部署。它将受害者锁定合约硬编码为不可变的，并使用WBNB进行路由，同时限制每个功能……安全公司表示，特权的“setFee”机制与回溯锁定配置相结合，使得重复提取操作成为可能，最终导致BNB储备被抽空。
Tahax还单独指控在部署者合约中留下了后门，为漏洞创造了条件。到调查人员识别攻击路径时，一些被盗资金已经通过可能复杂化追踪工作的基础设施转移。
DeFi领域的安全挑战
此次最新的安全漏洞发生在去中心化金融平台在多个网络上持续面临安全事件之际。DefiLlama的数据表明，DeFi协议在5月已因漏洞损失约5200万美元，而4月的损失约为6.34亿美元，创下自2025年2月以来的最高月度总额。
安全隐患在本周加剧，Stake DAO披露了其在Arbitrum上涉及投票增强的sdCRV代币的漏洞。区块链安全公司Blockaid报告称，攻击者铸造了超过5.4万亿vsdCRV代币，并开始将其兑换为ETH，而Stake DAO则敦促用户不要与该资产互动，因为调查人员正在追踪Arbitrum和以太坊上的交易。
其他安全事件
在其他地方，Wasabi Protocol报告称，由于管理密钥被攻破，攻击者能够升级合约并在以太坊、Base、Berachain和Blast上提取资金，损失超过500万美元。在近期一系列事件中，OpenZeppelin的联合创始人Manuel Aráoz警告称，AI辅助漏洞发现的进步使得攻击变得更容易执行。
在crypto.news早前引用的评论中，Aráoz表示，他现在认为“所有DeFi”都不安全，因为攻击者越来越容易获得强大的工具，这些工具可以在开发者修补软件漏洞之前识别出这些弱点。
根据DefiLlama的数据，加密货币漏洞已导致超过170亿美元的累计损失，其中约78亿美元是从DeFi协议中被盗。
