BNB链流动性漏洞致DxSale被盗730万,安全防护刻不容缓

DxSale遭遇的这次黑客攻击，算得上是给BNB链的流动性管理敲了一记警钟。攻击者利用一个旧合约的漏洞，直接从平台上抽走了约730万美元，波及了链上大约1400个流动性提供者。这起事件的核心问题，指向了去中心化平台在安全防护和应急机制上的短板——尤其是那些历史悠久的DeFi锁仓合约，似乎正在成为新的风险敞口。

根据区块链安全机构PeckShield在X平台上发布的信息，攻击者地址“0xC457”先是将价值187万美元的BNB代币转移到了两个主要钱&包，随后又将这笔资金分散存入了多个币安存款地址。这操作手法相当老练，直接冲着变&现渠道去的。

值得一提的是，DxSale早在2021年就被用来锁定BNB链上发行代币的流动性。链上分析师Tahax估算，直到本次攻击发生前，那个资金池里还趴着数年前发行项目的流动性。更有意思的是，实施攻击的钱&包是个新号，资金来源居然是加密货币交易所Bybit——这让整个事件的预谋性质显得更浓了。

这次漏洞利用，把“DeFi安全”这个老话题再次推上了风口浪尖。根据DefiLlama的数据，2025年5月至今，DeFi领域的黑客攻击总损失已经达到了5200万美元。乍一看这个数字不小，但相比于4月份的6.34亿美元——那个自2025年2月以来超过一年里的最高点——倒也算有所回落。但问题的关键不在于单月数字的高低，而在于攻击的频率和手法都在升级。

整个行业对DeFi安全性的担忧正在加剧，而一个不容忽视的背景是，不法分子对人工智能的使用正在让智能合约漏洞更容易被识别和利用。区块链安全平台OpenZeppelin的创始人曼努埃尔·阿拉奥斯甚至直言：“我现在认为*所有*DeFi都存在安全隐患。”话虽然说得有点绝对，但结合AI在合约审计中的渗透速度来看，这绝非危言耸听。

来源：PeckShield

DxSale被盗资金已无法追踪：链上分析师

攻击得手后，资金的去向很快就变得模糊起来。Tahax指出，攻击者已经通过一些中间基础设施转移了部分资金，这很大程度上让追踪工作变得更加困难。

更令人警觉的是，调查发现DxSale的部署者在269天前就悄然将储物柜合约的所有权转移到了一个新钱&包。而在没有发布任何官方迁移公告的情况下，合约里被指留下了“后门”。这才是这次攻击得以顺利实施的根本原因——不是因为合约本身易受攻击，而是有人在合约层面埋下了隐患。

来源：Tahax

链上证据显示，后续还有80笔交易进行了多次所有权转移，明显是在混淆视听。最终，合约所有权落入了钱&包“0xC45”手中，随即引发了一轮大规模BNB变钱。

Web3安全平台Coinsult对事件的技术细节做了进一步解释：“部署者合约中的后门漏洞，配合一份追溯日期的锁定机制，使黑客得以利用变钱循环并提取BNB代币。”说白了，就是一项看似合理的“特权设置费用”，配上了一个追认生效时间的锁定机制，硬是把已经锁定的存款变成了可以随时提取的余额。

截至发稿时，Cointelegraph已就此次漏洞及受影响的流动性提供商最终数量向DxSale求证，尚未得到回复。

这起事件并非孤例。DefiLlama跟踪的数据显示，迄今为止，因各类漏洞攻击导致的加密货币总损失已超过170亿美元，其中约78亿美元来自DeFi协议。在AI技术快速渗透的当下，如何重新审视旧有合约的安全性，恐怕是整个行业都必须直面的课题。