Le locker de liquidités DxSale sur BNB Chain vidé de 7,3 M$
Les analystes onchain ont lié l'exploitation à des contrôles privilégiés présumés et à des dépôts rapides dans plusieurs adresses Binance.
Le locker de liquidité BNB Chain de DxSale a été vidé d'environ 7,3 millions de dollars lors d'une exploitation qui a touché environ 1 400 fournisseurs de liquidité. Le traçage on-chain montre qu'une partie du butin a transité par deux portefeuilles principaux avant d'atterrir dans plusieurs adresses de dépôt Binance, réduisant la fenêtre pour tout effort de récupération.
Points clés
- Environ 7,3 millions de dollars ont été drainés du locker de liquidité de DxSaleBNB Chain, impactant environ 1 400 fournisseurs de liquidité.
- La surveillance on-chain a lié l'attaquant à l'adresse 0xC457 pour 1,87 million de dollars de BNB acheminés vers deux portefeuilles principaux avant des dépôts dans plusieurs adresses de dépôt Binance.
- Un transfert de propriété de locker vieux de 269 jours a été signalé comme une étape de préparation potentielle, avec environ 80 sauts de propriété suivants cités comme une obfuscation avant que les retraits massifs ne commencent depuis le portefeuille 0xC45.
- Coinsult a décrit le mode de défaillance comme des contrôles privilégiés, où une capacité setFee et un verrouillage rétroactif auraient prétendument transformé les dépôts « verrouillés » en solde retiré via des boucles de retrait.
L'exploitation de DxSale Locker touche ~1 400 LPs de la chaîne BNB pour ~7,3 millions de dollars.
Le coffre-fort de liquidité hérité de DxSale sur la chaîne BNB a été vidé d'environ 7,3 millions de dollars lors d'une exploitation qui a touché environ 1 400 fournisseurs de liquidité. Ce n'est pas l'explosion habituelle d'un seul pool où un graphique meurt et le reste de la chaîne l'ignore. Un coffre-fort de liquidité est une infrastructure en amont.
S'il est largement réutilisé, le rayon d'explosion se mesure au nombre de projets distincts qui ont compté sur le même signal de « liquidité verrouillée ».
Pour les traders, le risque immédiat est de type contrepartie. Les LPs sont les utilisateurs qui déposent des paires de tokens dans unDEXpool pour fournir de la liquidité et gagner des frais, mais ils héritent égalementcontrat intelligentrisque. Un verrou de liquidité est censé réduire un risque spécifique, la capacité d'une équipe à retirer immédiatement la liquidité.
Lorsque le verrou lui-même est le point de défaillance, le marché cesse de tarifer "le risque du pool de ce jeton" et commence à re-tarifer "le risque de cette pile d'outils."
Le modèle à noter est que DxSale a été utilisé en 2021 pour verrouiller la liquidité des tokens lancés sur BNB Chain, et un analyste onchain a estimé que le locker détenait encore de la liquidité provenant de projets lancés des années auparavant. Cela est important car les contrats hérités ont tendance à rester non surveillés jusqu'à ce qu'ils deviennent une cible. Lorsqu'ils se cassent, ils se cassent en même temps à travers de nombreux sacs non liés.
Trace de retrait en chaîne : 0xC457, deux portefeuilles principaux et adresses de dépôt Binance
La surveillance onchain a lié l'adresse de l'attaquant 0xC457 à un chemin de retrait clair. L'adresse a déplacé 1,87 million de dollars en BNB vers deux portefeuilles principaux, puis a déposé des fonds dans plusieurs adresses de dépôt Binance.
Cette jambe d'échange est la charnière de confinement. Une fois que les assets volés atteignent des lieux centralisés, la fenêtre de réaction du marché se réduit. Les LPs et les projets peuvent toujours effectuer des analyses forensiques onchain, mais la question pratique devient de savoir si les dépôts peuvent être signalés assez rapidement pour avoir de l'importance.
Il y a aussi un effet de second ordre que les traders ont tendance à sous-estimer. Lorsque les flux touchent déjà l'infrastructure de dépôt des échanges, l'histoire peut passer de « pouvons-nous le tracer » à « un échange peut-il coordonner un gel », et cela peut changer rapidement le sentiment. Si les participants au marché croient que les fonds sont irrécupérables, ils intègrent une perte permanente et passent à autre chose.
S'ils croient qu'un gel est plausible, ils peuvent retarder capitulation, en particulier dans les petites communautés héritées où le locker était un ancre de confiance essentielle.
Un détail de plus dans le récit onchain : le portefeuille de l'exploitant a été décrit comme fraîchement créé et financé par Bybit. Cela ne prouve pas l'identité, mais cela cadre l'exploit comme étant opérationnellement préparé plutôt que comme une piqûre opportuniste aléatoire sur un ancien contrat.
Cause racine présumée : transfert de propriété silencieux, setFee privilégié et verrouillage rétroactif.
Deux explications parallèles alimentent le récit actuel, et les deux pointent vers le même mode d'échec central : contrôle privilégié.
Tout d'abord, un analyste onchain a allégué que le déployeur de DxSale avait silencieusement transféré la propriété du contrat de locker à un nouveau portefeuille 269 jours plus tôt sans annonce officielle de migration, affirmant qu'un « backdoor avait été laissé ».
Le même analyste a pointé des preuves onchain de 80 autres transactions qui ont exécuté des sauts de propriété ultérieurs « pour l'obfuscation », avant que la propriété du contrat n'atterrisse au portefeuille 0xC45, qui a ensuite commencé des retraits massifs de BNB.
Deuxièmement, Coinsult a décrit les mécanismes d'exploitation en des termes plus techniques. Il a caractérisé le problème comme une porte dérobée dans le contrat de déploiement associée à un verrouillage rétroactif qui a permis des boucles de retrait. La phrase clé de Coinsult était explicite : « Un ensemble privilégié de setFee plus un verrouillage rétroactif a transformé les dépôts 'verrouillés' en un solde récupérable. »
Ce qui se démarque ici n'est pas les noms de paramètres spécifiques. C'est l'implication que la « liquidité verrouillée » n'était aussi forte que la surface d'administration derrière le verrou. Si un acteur privilégié peut changer le comportement des frais ou l'état du verrou d'une manière qui rend rétroactivement les dépôts récupérables, alors la question de diligence change.
Ce n'est plus « est-ce verrouillé », c'est « qui peut changer l'état du verrou et des frais, et ce contrôle peut-il se déplacer discrètement ? »
Il y a aussi une ambiguïté non résolue dans les identifiants cités dans le récit on-chain. L'adresse de l'attaquant est étiquetée 0xC457, tandis que le portefeuille qui aurait fini par obtenir la propriété et initié des retraits massifs est référencé comme 0xC45. Le paquet ne réconcilie pas explicitement si ce sont la même entité, des portefeuilles liés ou des étiquettes abrégées. Les traders devraient considérer cet écart comme matériel jusqu'à ce qu'un post-mortem relie le graphe d'adresses.
Confirmations que les traders devraient attendre : Post-mortem, historique de propriété et coordination des échanges.
Trois confirmations décideront si cet incident reste contenu ou devient une revalorisation plus large du risque de locker hérité sur BNB Chain.
La première est une déclaration officielle de DxSale ou un post-mortem qui confirme le nombre final de LPs affectés et le chemin d'exploitation réel. Le paquet actuel présente des éléments clés comme des allégations ou une interprétation technique de tiers, y compris la revendication de « porte dérobée » et le récit de transfert de propriété.
La deuxième est un historique de propriété clair et public qui résout la revendication de transfert de 269 jours et la chaîne citée d'environ 80 transactions de saut de propriété. Si ces sauts sont confirmés comme une obfuscation menant au portefeuille 0xC45, cela renforce le récit de pré-positionnement. S'ils sont expliqués comme des changements opérationnels légitimes, cela l'affaiblit.
La troisième est la coordination des échanges. La surveillance on-chain a déjà signalé des dépôts dans plusieurs adresses de dépôt Binance. Toute reconnaissance de Binance concernant les dépôts liés à l'exploitation, et toute étape de gel ou de coordination, serait une variable pivot pour les récupérations.
Cela établirait également des attentes quant à la rapidité avec laquelle des incidents similaires peuvent être contenus lorsque des fonds passent de l'on-chain aux rails centralisés.
Un dernier point à surveiller est la divulgation ultérieure des entreprises de sécurité concernant d'autres lockers ou contrats partageant le même déployeur ou des modèles de contrôle privilégiés décrits par Coinsult. Si la même surface de contrôle existe ailleurs, le marché commencera à scanner pour la prochaine chaussure.
Pourquoi cela ressemble à un choc de contrepartie de locker hérité, et non à un rug pull ponctuel.
Je considère cela comme un choc de contrepartie sur une infrastructure de l'ère de lancement, et non comme un rug pull isolé déguisé en exploit. La raison réside dans l'ampleur. Environ 7,3 millions de dollars répartis sur environ 1 400 LPs est le profil d'un outil partagé qui échoue, et non d'une seule communauté qui se retrouve à zéro.
L'autre indice est la chronologie impliquée par les allégations. Un transfert de propriété de coffre-fort 269 jours plus tôt, avec environ 80 sauts de propriété ultérieurs décrits comme de l'obfuscation, ressemble à une pré-positionnement.
Cela ne prouve pas l'intention à lui seul, mais cela élève la barre sur la façon dont je pense aux revendications de "liquidité verrouillée" lorsque le contrôle administratif peut changer sans annonce de migration. Si la propriété peut se déplacer discrètement, le verrou est une déclaration marketing jusqu'à preuve du contraire.
La description de Coinsult resserre la thèse. "Un setFee privilégié plus un verrouillage rétroactif a transformé les dépôts 'bloqués' en un solde retiré." C'est le mode de défaillance exact que les traders devraient craindre dans les coffres tiers : le risque de paramétrage. Si l'exploitation concerne fondamentalement des contrôles privilégiés et un rétrodatage, alors le risque est portable. Il peut exister partout où le même modèle de déploiement ou surface d'administration existe.
En prenant du recul, cela se situe dans un mois où les données de DefiLlama montrent 52 millions de dollars volés jusqu'à présent en mai contre 634 millions en avril, avec avril atteignant un sommet sur plus d'un an, le dernier observé en février 2025.
L'agrégat est inférieur à ce jour, mais cet incident peut toujours influencer le sentiment de risque sur BNB Chain et les memecoins car il cible un primitif de confiance largement réutilisé depuis 2021. Cela s'inscrit également dans un débat plus large sur la dégradation des hypothèses de sécurité en DeFi.
Le fondateur d'OpenZeppelin, Manuel Aráoz, l'a exprimé clairement cette semaine : « Je considère maintenant quetoutde DeFi peu sûr,” citant la capacité croissante de l'IA à identifier les vulnérabilités des contrats intelligents.
Voici les scénarios que je surveille, avec des points d'invalidation clairs.
Scénario A : Le post-mortem confirme le récit de transfert de propriété et de contrôle privilégié. Dans ce cas, l'impact sur le marché concerne moins les 7,3 millions de dollars et davantage la réduction de crédibilité des coffres hérités.
La confirmation ressemblerait à une chronologie de propriété documentée correspondant à la réclamation de 269 jours, ainsi qu'à des preuves techniques montrant que le comportement privilégié setFee et un verrouillage rétroactif ont permis des boucles de retrait.
Scénario B : DxSale ou une analyse indépendante montre un chemin de vulnérabilité différent qui ne repose pas sur un transfert de propriété discret ou une porte dérobée privilégiée. Cela réduirait le risque de contagion.
L'invalidation ressemblerait à un post-mortem qui réconcilie 0xC457 et 0xC45 de manière claire, explique les sauts de propriété comme bénins, et démontre une exploitation qui ne peut pas être reproduite à travers d'autres coffres partageant le modèle de déploiement.
Scénario C : La coordination des échanges devient la variable dominante. Si Binance reconnaît les dépôts liés à l'exploitation et prend des mesures, les chances de récupération s'améliorent et le marché peut considérer cela comme un incident maîtrisé. S'il n'y a pas de coordination visible et que les dépôts continuent au-delà des adresses Binance déjà signalées, le marché supposera que le retrait est complet et évaluera la perte comme définitive.
La thèse principale est simple : cela devient une revalorisation plus large des coffres-forts d'héritage si un post-mortem confirme que la propriété privilégiée et les contrôles de paramètres, et non l'erreur d'un seul pool, ont rendu la liquidité « verrouillée » retirée à grande échelle.
