Kẻ tấn công rút 7,3 triệu USD từ 1.400 pool DxSale cũ trên BNB Chain

Kẻ tấn công rút 7,3 triệu USD từ locker DxSale cũ trên BNB Chain

Một kẻ tấn công đã rút khoảng 7,3 triệu USD từ hơn 1.400 vị trí liquidity provider (LP) đang nằm trong các hợp đồng locker DxSale phiên bản cũ trên BNB Chain. Sự cố được hai công ty bảo mật PeckShield và Coinsult phát hiện và cảnh báo vào ngày 29/5.

Không phải lỗi smart contract

Đáng chú ý, cuộc tấn công này không xuất phát từ lỗi smart contract mà do việc chuyển quyền sở hữu (ownership transfer) bị thực hiện âm thầm. Kẻ tấn công lợi dụng đặc quyền của chủ hợp đồng (owner privilege) để rút tài sản từ các pool liquidity đã bị bỏ quên trên nền tảng DxSale phiên bản cũ.

Mô hình tấn công owner-privilege tiếp tục gia tăng

Sự cố này là minh chứng mới nhất cho xu hướng khai thác owner-privilege – một rủi ro vốn có trong các hợp đồng DeFi khi quyền kiểm soát tập trung nằm trong tay chủ hợp đồng. Khi quyền sở hữu bị chuyển giao cho bên độc hại, toàn bộ tài sản bị khóa trong hợp đồng có thể bị rút sạch mà không cần khai thác lỗ hổng kỹ thuật.

Cảnh báo cho người dùng DeFi

Các vị trí LP bị ảnh hưởng đều thuộc phiên bản locker DxSale cũ, không còn được bảo trì. Người dùng chưa rút tài sản khỏi các hợp đồng này đã trở thành nạn nhân. Sự kiện nhắc nhở cộng đồng DeFi về tầm quan trọng của việc:

• Theo dõi quyền sở hữu hợp đồng trước khi cung cấp thanh khoản.
• Rút tài sản khỏi các pool trên nền tảng không còn hoạt động hoặc không được bảo trì.
• Ưu tiên sử dụng các hợp đồng đã từ bỏ quyền sở hữu (renounced ownership) hoặc có quản trị phi tập trung.

Hiện chưa có thông tin về việc thu hồi tài sản hay phản hồi chính thức từ DxSale.