DxSale 是一个长期存在的代币发行和流动性锁定平台，在早期 BNB Chain memecoin 激增期间普及，已被利用流动性提供者 (LP) 资金估计达 730 万美元。此次攻击影响了众多较旧代币项目的 1,400 多个流动性池，其中许多项目处于非活动状态，但仍然在 DxSale 合约中锁定了流动性。
调查显示该漏洞并未针对特定令牌。相反，它损害了数百个部署使用的共享基础设施层，从而扩大了总损失。根据链上分析，这次攻击并不是突然的违规行为，而是长期、秘密的行政接管的最终结果。
事件发生前大约 269 天，核心储物柜合约的所有权在没有公开通知或用户警告的情况下从 DxSale 部署者转移到新钱包。随后几个月，通过大约 80 次中间钱包转账，行政控制被混淆。
在资金流失前两天，所有权被合并到一个新创建的钱包中，通过 Bybit 提供资金，并通过跨链桥传输以隐藏来源。几个小时内，数百个水池开始排水作业。
安全分析师的技术故障详细说明了漏洞利用机制。攻击者使用 Solidity 0.8.33 部署了未经验证的合约，该合约充当协调器在一个事务中执行多个步骤。该合约首先将锁定费用降低至 1 wei，然后将锁定到期时间戳设置为 Unix 纪元后可忽略不计的 68 秒，从而有效地使锁定无效。随后，费用参数被提高到异常高的值（约1e29），可能会扰乱执行过程中的正常合约交互。
随着储物柜内部状态的改变，攻击者反复提取代币，将其转换为WBNB和BNB，并通过多条路线将资金分散到模糊的踪迹。
该事件凸显了 DxSale 安全模型中的严重漏洞，该模型严重依赖管理权限而不是不可变的智能合约逻辑。关键功能（包括费用调整和锁定配置）仍然可以通过所有者密钥进行修改，这意味着“锁定”的流动性最终是通过可调整的设置而不是不可逆转的代码来确保的。
DxSale 在 BNB Chain 2021 年 memecoin 繁荣期间被广泛采用，成为项目锁定 LP 代币并确保投资者安全的默认工具。此漏洞凸显了与可升级或管理控制的 DeFi 协议相关的持续风险，尤其是那些支持不再受到开发人员或用户主动监控的遗留矿池的风险。