Yli 1 400 DxSaleen liittyvää vanhaa likviditeettipoolia BNB Chainissa tyhjennettiin 7,3 miljoonan dollarin hyökkäyksessä, jonka käyttäjä nimeltä 'Tahax' havaitsi ensimmäisenä 29. toukokuuta. Hyökkääjä veti varoja DxSaleen lukitussopimuksesta – sopimuksesta, joka piti hallussaan vuosia sitten lanseeratuista projekteista peräisin olevia LP-tokeneita – ja siirsi ne AnySwapin kautta hämärtääkseen jälkensä. Hyökkäys lisää synkkyyttä kryptoturvallisuuden kannalta kovaan kuukauteen, kun tappiot kasautuvat siltojen ja lainausprotokollien kautta.
Näin hyökkäys toimi
Hyökkääjä käytti lompakkoa 0xC457...FA69, uutta osoitetta, joka oli rahoitettu Bybitistä ja mahdollisesti reititetty AnySwapin kautta, ottaakseen DxSaleen lukitussopimuksen omistukseensa. Kyseinen sopimus oli varmistamaton ja sisälsi todennäköisesti takaoven, jota hyökkääjä käytti hyväkseen tyhjentääkseen LP-tokenit tunneissa. Tämän jälkeen 2 958 BNB:tä (1,87 miljoonaa dollaria) siirrettiin kahteen päälompakkoon, ja sieltä edelleen talletusosoitteisiin Binancessa.
Hiljainen omistajuuden vaihdos
Lähes yhdeksän kuukautta sitten DxSaleen lanseeraaja siirsi lukitussopimuksen omistajuuden uudelle lompakolle – ilman julkista ilmoitusta tai siirtotiedotetta. Vanhat sopimukset olivat olleet koskemattomana vuosia, mikä teki niistä helpon kohteen. DxSale, lanseerausalusta, ei ole antanut mitään lausuntoa hyökkäyksestä sen löytymisen jälkeen.
Osa synkkää toukokuuta
Tämä ei ole yksittäinen tapaus. Kryptosektori menetti huhtikuussa vähintään 650 miljoonaa dollaria vastaavissa hakkeroinneissa. Pelkästään toukokuussa tapahtui 11 miljoonan dollarin Verus-siltahyökkäys, 5,9 miljoonan dollarin hyökkäys TrustedVolumesiin ja mahdollinen 10 miljoonan dollarin THORChain-tapaus. OpenZeppelinin perustaja Manuel Aráoz julisti 'koko DeFin olevan turvaton' väittäen tekoälyavusteisten hyökkääjien löytävän haavoittuvuuksia nopeammin kuin turvallisuustiimit ehtivät paikata niitä. DxSaleen lukitussopimus – vanha, varmistamaton ja hiljaa siirretty – sopii tuohon synkkään kaavaan.
DxSale ei ole vielä vastannut kommenttipyyntöihin. Lukitussopimus on edelleen korjaamatta, ja hyökkääjän jäljet AnySwapin kautta tarkoittavat, että varat ovat todennäköisesti menetettyjä lopullisesti.
