730萬美金蒸發！DxSale「殭屍合約」埋伏269日大揭秘

喺2026年5月底，一個手法精密嘅攻擊者，成功由BNB Chain上面超過1,400個流動性池度，夾埋偷走咗大約730萬美金 。佢嘅目標並唔係咩新潮高科技協議，而係DxSale——一個喺2021年牛市好紅嘅發射台（Launchpad）——留低嗰堆被世人遺忘嘅舊智能合約。呢單嘢好似一個響亮嘅警號，提醒我哋「殭屍合約」有幾咁危險：呢啲冇人打理但仲鎖住錢嘅DeFi基礎設施，只要管理員私鑰（Admin Keys）保安做得唔好，或者冇放棄控制權（Renounced），就會變成一個隨時爆炸嘅計時炸彈。

目標：DxSale被遺忘嘅「舊版鎖倉合約」

呢次攻擊嘅目標，只係DxSale嘅「舊版流動性鎖倉合約」（Legacy Liquidity Locker Contracts）。呢啲合約嘅設計原意，係將流動性提供者（LP）代幣鎖定一段時間，好多新嘅加密貨幣項目都會咁做嚟建立信譽。而家俾人針對嗰批合約，係嚟自2021年嘅古董，早已經冇人主動維護，但入面竟然仲鎖住嗰個年代可觀嘅流動性 。

呢批舊合約因為仲保留住敏感嘅「擁有者特權功能」，搞到成個保安漏洞百出。保安公司SlowMist將呢次攻擊手法歸類為 「擁有權覆蓋攻擊」（Ownership Override Attack） 。黑客利用佢對合約嘅控制權，做咗幾樣嘢：將提取費用set到接近零、將解鎖時間篡改返去1970年，然後透過一個自己寫嘅「排水器合約」，自出自入咁將鎖倉嘅LP代幣全部抽走 。

一場橫跨269日嘅精密佈局

呢次黑客攻擊同一般即興犯案唔同嘅係，有大把證據顯示佢哋計劃咗好耐。鏈上數據披露，攻擊者喺偷錢之前差唔多九個月，已經開始鋪路。

• 2025年8月： 個關鍵嘅舊版鎖倉合約嘅擁有權，俾人轉移咗去一個地址，而呢個地址而家證實係由攻擊者操控 。
• 2026年5月28至29日： 大約269日之後，真正嘅「排水」行動先至執行 。

咁樣提早咁耐部署，強烈表明呢單係經過精心策劃嘅犯罪，而唔係一時興起。鏈上分析師同埋PeckShield、SlowMist等保安公司都留意到，呢次攻擊嘅高效率，背後好可能牽涉到有內鬼，對DxSale嗰種過晒氣嘅合約架構有好深入嘅認識 。

被低估嘅警告信號

2026年呢次攻擊，並唔係毫無先兆嘅。早喺2025年6月，區塊鏈保安公司Decurity就披露過，DxSale喺BNB Chain上面嘅另一個智能合約有個嚴重漏洞，當時令到用戶至少520萬美金嘅資產曝露喺風險之中 。Decurity因為發現同負責任咁報告咗呢個可能造成數百萬美金損失嘅漏洞，聽講最後竟然只係收到區塊鏈業界傳嚟嘅500美金賞金——呢個數目細到成為咗業界頭條新聞，俾人鬧到爆 。

雖然嗰個特定漏洞後尾修補咗，但呢件事已經暴露出DxSale一直忽視保安基礎設施嘅惡習，而呢個惡習睇嚟一直冇變，最終喺一年之後，引爆咗呢次破壞力大得多嘅舊版鎖倉合約大災難。

洗錢大法：斬件、攪亂、分散

一拎到LP代幣嘅控制權，攻擊者就閃電式行動，務求擾亂被盜資金嘅追踪路線。主要攻擊者地址 0xC4574DDEF299e7E563971e200433e592EeaaFA69，採取咗分幾個步驟嘅洗錢方法 。

1. 代幣兌換： 被盜嘅LP代幣即刻被兌換成BNB（BNB Chain原生貨幣），令到鏈上追踪變得更加困難 。
2. 整合再分拆： 大約2,958個BNB（當時約值187萬美金），由主地址轉賬到兩個中介錢包 。
3. 分散化整為零： 嗰兩個錢包嘅資金，再好似開枝散葉咁，分配到多個存款地址，呢招目的係將資金鏈斬到散晒，增加追討難度 。初步報告仲指出，洗錢過程中有用到AnySwap呢類跨鏈服務 。

大局觀：DeFi血腥嘅2026年

DxSale事件並唔係單一事故，而係2026年加密貨幣犯罪災難性浪潮嘅其中一部分。今年已經坐穩咗鏈上保安史上最惡劣嘅年份之一。

• 呃人嘅第一季： 2026年第一季，去中心化金融（DeFi）協議喺34次漏洞攻擊中，損失咗大約 1.68至1.69億美金。雖然呢個數比2025年第一季嘅15.8億美金（個數主要係俾Bybit嗰單14億美金世紀大劫案谷大咗）暴跌咗89%，但保安專家警告，威脅絕對未完 。
• 破紀錄嘅4月： 呢啲警告好快就應驗。2026年4月成為 加密貨幣史上被黑得最甘嘅月份，單係DeFi協議就俾人偷咗超過6.06億美金。呢件事觸發咗48小時內，有成130億美金嘅總鎖倉價值（TVL）極速撤離DeFi生態圈 。
• 不斷攀升嘅年度損失： 到咗2026年5月下旬，加密貨幣全年黑客同漏洞攻擊損失總額，已經突破 11億美金，涉及185宗事故。其中，DeFi同跨鏈橋攻擊大約佔咗8.169億美金 。
• 國家級威脅： 損失入面有相當大嘅比例，係嚟自北韓黑客組織。截至2026年4月，佢哋要對 所有加密貨幣黑客損失嘅76% 負責，單單係幾次主要攻擊，就已經偷咗大約5.77億美金 。

DxSale呢次攻擊，雖然唔係今年最大單嘅漏洞事故，但佢係一個「教科書式」嘅案例，展示咗一個越嚟越大嘅威脅向量。隨住DeFi世界不斷擴張，嗰啲舊嘅、冇審計過、冇人打理嘅「殭屍合約」墓地，亦都越嚟越大。呢啲合約仲保留住管理員私鑰，一旦俾人入侵，或者好似今次咁俾人偷偷地轉移，就等於送咗一條直通車路俾攻擊者，任佢哋提取任何仲鎖喺入面嘅資金。呢單嘢係個好關鍵嘅提醒：「鎖倉嘅流動性」安唔安全，好大程度取決於控制道鎖嗰個程式碼同埋條鎖匙本身。