DxSale verliert $7.3M bei Hack von BNB Chain-Liquiditätsanbietern (LPs)

DxSale, eine langjährig genutzte Plattform für Token-Launches und das Sperren von Liquidität, die während des frühen Memecoin-Booms auf der BNB Chain weit verbreitet war, erlitt einen schweren Exploit, der schätzungsweise $7.3M an Geldern von Liquiditätsanbietern (LP) abfließen ließ.

Der Vorfall betraf mehr als 1,400 Liquiditätspools, laut der anschließend geteilten On-Chain-Analyse.

Die Pools verteilten sich über mehrere ältere Token-Projekte, von denen viele seit Jahren keine aktive Entwicklung oder keinen Handel mehr verzeichneten, die jedoch weiterhin gesperrte Liquidität in DxSale-Verträgen hielten.

Auffällig war, dass der Exploit offenbar nicht auf ein einzelnes Token oder Projekt abzielte. Stattdessen traf er eine gemeinsame Infrastrukturebene, die von Hunderten von Deployments genutzt wurde, wodurch sich das Ausmaß der Verluste verstärkte.

Wie der Angriff auf die BNB Chain-LPs ablief

On-Chain-Analyse und Ermittleraufschlüsselungen von Tahax deuten darauf hin, dass der Exploit nicht plötzlich erfolgte.

Stattdessen entfaltete er sich durch eine Serie kontrollierter administrativer Änderungen, die sich Monate vor dem tatsächlichen Abzug ereigneten.

Ungefähr 269 Tage vor dem Vorfall soll der DxSale-Deploy-Account die Eigentümerschaft eines wichtigen Locker-Vertrags an eine neue Wallet übertragen haben. Die Übergabe wurde nicht öffentlich angekündigt, und es gab keinen Migrationshinweis an Nutzer oder Token-Teams, die auf das System angewiesen waren.

Im Laufe der Zeit blieb die Eigentümerschaft nicht statisch. Die Admin-Rechte sollen durch etwa 80 separate Wallet-Transfers bewegt worden sein, jede einzelne offenbar darauf ausgelegt, die Spur der Custody-Änderungen zu verschleiern.

Diese Bewegungen reduzierten die Sichtbarkeit darüber, wer letztlich das Locker-System kontrollierte, während die administrativen Privilegien intakt blieben.

Zwei Tage vor Beginn des Exploits wurde die Eigentümerschaft in einer einzigen Wallet konsolidiert:

0xC4574DDEF299e7E563971e200433e592EeaaFA69

Die Wallet wurde neu erstellt und soll über Bybit finanziert worden sein, mit Routing-Aktivitäten, die über Cross-Chain-Bridge-Infrastruktur führten, wie sie oft verwendet wird, um die Herkunft von Geldern zu verschleiern.

Innerhalb von Stunden nach dieser Konsolidierung begannen Aktivitäten zum Abziehen von Liquidität in Hunderten von Token-Pools.

Technische Ausführung des Abzugs

Eine detaillierte Aufschlüsselung der On-Chain-Sicherheitsanalysten von Coinsult beschrieb den Mechanismus, mit dem Mittel aus dem DxSale-Locker-System extrahiert wurden.

Der angreifende Vertrag, kurz vor dem Vorfall deployed, war unbestätigt und mithilfe von Solidity 0.8.33 erstellt. Er fungierte als einzelner Orchestrator und ermöglichte es, mehrere Aktionen innerhalb einer Transaktion durch selbstaufrufende Logik auszuführen.

Die Ausführungssequenz zielte auf die internen Mechaniken des Locker-Vertrags ab.

Zunächst löste der Angreifer eine Funktion aus, die die Sperrgebühr auf 1 wei reduzierte und damit Kostenbarrieren für Änderungen an gesperrten Positionen effektiv entfernte.

Darauf folgte eine zweite Aktion, die den Ablaufzeitstempel der Sperre auf 68 Sekunden nach der Unix-Epoche setzte und die Sperre damit zurücksetzte auf einen Zeitpunkt, der die eingezahlte Liquidität nicht mehr schützte.

Anschließend wurde der Gebührenparameter auf einen extrem hohen Wert erhöht, etwa 1e29, was offenbar genutzt wurde, um das normale Verhalten bei Vertragsinteraktionen während der Ausführung zu stören.

Nachdem der interne Zustand verändert war, begann der Angreifer wiederholte Auszahlungsaufrufe, die es ermöglichten, Tokens aus dem Locker zu entnehmen.

Diese Mittel wurden anschließend in WBNB und BNB umgewandelt und über mehrere Routen verschoben, um die Transaktionsspur zu verschleiern.

Die Struktur des Vertrags brachte mit sich, dass nach Änderungen administrativer Parameter der als „gesperrt“ deklarierte Status der Liquidität nicht mehr tatsächliche Entnahmebeschränkungen widerspiegelte.

Warum das LP‑Locker‑System zum Ziel wurde

DxSale wurde während des Memecoin-Booms 2021 auf der BNB Chain als Default-Tool zum Sperren von Liquidität weit verbreitet eingesetzt.

Viele Token-Starts nutzten es, um frühen Investoren durch das Sperren von Liquiditätspaarkryptos über längere Zeiträume Sicherheit zu demonstrieren.

Das Sicherheitsmodell des Systems beruhte jedoch stark auf administrativer Kontrolle statt auf vollständig unveränderlicher Vertragslogik.

Laut Analyse blieben Funktionen wie Gebühranpassungen und Sperrkonfigurationen über privilegierte Eigentümerrollen zugänglich.

Sicherheitsanalysten stellten fest, dass der Exploit möglich wurde, weil der Locker-Vertrag weiterhin einen aktiven Owner-Key hatte, der kritische Parameter ändern konnte.

Das bedeutete, dass „gesperrte“ Liquidität nicht strikt durch unveränderlichen Code durchgesetzt wurde, sondern durch anpassbare Vertrags-Einstellungen geregelt war.