DxSale 被盜 7.3 億美元：BNB Chain 流動性的黑暗一夜

事件的導火索：7.3 億美元在 BNB 鏈上蒸發

近期，加密社群被一則震撼的訊息刷屏——知名 Launchpad 平臺 DxSale 在 BNB Chain 上的流動性池在短短數十分鐘內被人抽走，累計損失達到 7.3 百萬美元（約新臺幣 23 億元）。這個訊息對許多長期在 DeFi 領域耕耘的使用者來說，簡直像是看見自己辛苦灌溉的田地在一夜之間被洪水沖走。接下來，我們用最親近的方式，把整件事的來龍去脈、受害者、技術破綻以及未來防治的方向，一一道來。

什麼是 DxSale？

DxSale 以「memecoin 生成器」的身份問世，原本的功能是幫助專案方在 BNB Chain 上鎖住代幣的流動性，防止早期投資者任意拋售。它的設計概念類似於傳統金融中的「鎖定合約」——只有在特定的條件滿足後，才開放提領。過去兩年間，數以百計的專案透過 DxSale 完成上線，其中包括許多小型的 DeFi 專案，甚至一些以「社群實驗」為名的代幣。

攻擊時間線與手法拆解

根據區塊鏈資料平臺 PeckShield 的分析，攻擊者的錢包位址 「0xC457」 首先把價值 1.87 百萬美元的 BNB 注入兩個主要地址，隨後將這些 BNB 分散至多個 Binance 充值地址，進行層層轉帳。這一切的源頭，是一個看似已被「退役」的舊合約。根據分析師 Tahax 的調查，2021 年上線的 DxSale 部署者在 269 天前悄悄把合約的所有權轉移至一個全新的錢包，而官方從未對此進行公開公示。這波「Ownership Hop」的動作，事實上是一次隱蔽的「後門」設立。

接著，攻擊者利用所謂的「鎖定撤回」機制，在不觸發任何警告的情況下，反覆執行提領動作，最終在一系列 80 多筆的交易中，將流動性池裡的 BNB 完全抽乾。這種手法就好比在平靜的湖面上投下一顆微小的石子，瞬間引發連鎖的漣漪，最後形成巨浪。

受害者是誰？

根據官方統計，這次事件波及了約 1,400 名 LP（流動性提供者）。這些 LP 大多是普通的 DeFi 愛好者，他們把閒置的 BNB 放入 DxSale 的流動性池，期待獲得手續費收益。然而，因為合約的「後門」，他們的資產在一夜之間化為烏有。這個情況就像是把自己辛苦種植的果樹在一場突如其來的霜凍中全部枯萎，讓人慾哭無淚。

AI 助力：新一代的 DeFi 威脅

或許你會納悶，為何「舊合約」會突然被盯上？答案之一的關鍵詞是「AI」。根據區塊鏈安全公司 OpenZeppelin 的創辦人 Manuel Aráoz 所說，現在的 AI 已經，能夠在短時間內掃描成千上萬的智慧合約，快速找出潛在漏洞。這讓攻擊者不再需要仰賴大量的專業知識，只要藉助 AI，就能自動化生成「拔除」的路徑。正是這種趨勢，讓他直言「我把全部的 DeFi 都視為不安全」。

在這一次的 DxSale 事件裡，AI 扮演的角色體現在「快速識別已被遺忘的合約」與「自動產生交易指令」上。這也提醒我們，未來的安全防護必須更「主動」而非「被動」。

修復與療癒：我們可以做的下一步

每一次的傷痛，都像是一場雨後的洗禮，讓我們有機會重新站穩腳步。以下是我們可以從這次教訓中取走的幾項關鍵行動：

• 加強合約遷移的透明度：專案方在進行任何合約所有權變更時，必須透過官方部落格、社交媒體等多渠道即時告知社群，避免類似「隱蔽後門」的情況再次發生。
• 引入多簽名與時間鎖：讓資產的提取需要經過多重批准，且設定冷卻期，讓可疑的交易有緩衝的時間。
• 使用可驗證的審計工具：除了傳統的人工審計，結合 AI 輔助的靜態分析與動態模擬，可在上線前捕捉更多異常。
• 培養社群的風險意識：透過教育內容、線上工作坊，讓 LP 瞭解如何自行檢視合約原始碼，降低被單一平臺綁架的風險。

最後，雖然這次的漏洞在短期內仍會帶來波動，但只要我們願意把這些「裂痕」當作一次修復的契機，未來的 DeFi 生態仍能在陽光下重新成長。就像 Zen 花園裡的石頭，經過匠心的排列，才能在潮汐來臨時保持平衡。