DxSale、BNBチェーンで隠しバックドア悪用され730万ドル流出

攻撃者はBNBチェーン上のDxSaleのレガシー・リクイディティロッカー契約から730万ドルを流出させ、2021年のトークン発行ブーム時に同プラットフォームがピークを迎えていた時期以降ロックされていた約1,400の流動性プロバイダーに影響を与えた。

「このエクスプロイトには、デプロイヤー契約に隠されたバックドアが利用されており、ロックされた資金を引き出し可能な残高として扱うことができた」と、ブロックチェーンセキュリティ企業のPeckShieldは述べている。

PeckShieldによると、攻撃者が管理するアドレス0xC457は約2,958 BNB（約187万ドル相当）を2つの主要ウォレットに移動させた後、複数のBinance入金アドレスに資金を送金した。ブロックチェーンアナリストのTahaxは、9カ月間にわたる80件以上のトランザクションにまたがる所有権の変更を追跡し、このエクスプロイトがかなり前から準備されていた可能性を示唆した。悪用者ウォレットへの資金は当初、仮想通貨取引所Bybitを通じて供給された。

今回のインシデントは、DefiLlamaのデータによると、4月に6億3400万ドルの損失（2025年2月以来の月間最高額）が記録された後、5月だけでプロトコルに約5200万ドルの損害を与えた一連のDeFiセキュリティ侵害に新たに加わったものである。

Web3セキュリティ企業のCoinsultは、このエクスプロイトを特権的な「setFee」関数とバックデートされたロック構成の組み合わせによるものとし、ロックされた預金を実質的に引き出し可能な残高に変換したと指摘した。コミュニティの研究者らは、2025年8月のTelegramでの議論において、特定の個人が古いDxSaleの流動性プールのロックを解除するための内部アクセス権を主張していたとして、内部関係者の関与の可能性を指摘している。DxSaleチームは、ソーシャルチャネル全体で公式声明を発表していない。

この攻撃は、Stake DAOで攻撃者がArbitrum上で5.4兆超のvsdCRVトークンを鋳造した別のエクスプロイトや、Wasabi Protocolで管理キーの侵害によりEthereum、Base、Berachain、Blast全体でのコントラクトアップグレードが可能となり500万ドルの損失が発生した事件に続くものである。OpenZeppelinの共同創業者Manuel Aráoz氏は最近、AIを活用した脆弱性の発見により攻撃の実行が容易になっており、「DeFi全体が安全ではない」と警告している。

本記事は情報提供のみを目的としており、投資助言を構成するものではない。