DxSale Liquidity-Locker-Exploit

Am 27. Mai 2026 verlor DxSale, ein langjähriger BNB-Chain-Launchpad- und Token-Locker-Dienst, etwa 7,3 Millionen US-Dollar, als ein Angreifer BNB aus mehr als 1.400 alten Liquidity-Locker-Positionen aus dem Jahr 2021 abzog.

Was geschah

Die Mittel lagen in einem alten DxSale-Liquidity-Locker-Vertrag. Rund 269 Tage vor dem Abzug rief der DxSale-Deployer still und leise transferOwnership auf, um die Kontrolle über den alten Locker an eine neue Wallet zu übergeben — ohne öffentliche Ankündigung oder Migrationshinweis. Die Kontrolle wanderte dann über mehr als 80 Transaktionen, bevor sie die Angreiferadresse (0xC457…) erreichte. Mit Owner-Rechten manipulierte der Angreifer die Entsperrzeitstempel und senkte die Abhebungsgebühren auf nahezu null, um dann mittels EIP-7702-Batch-Delegation und eigener Verträge Hunderte von Pools in einem einzigen koordinierten Ablauf zu entsperren und leerzuräumen. On-Chain-Tracker verfolgten rund 1,87 Millionen US-Dollar in BNB über Zwischen-Wallets bis hin zu Binance-Einzahlungsadressen.

Folgen

Forscher wiesen auf starke Anzeichen einer Insider-Beteiligung hin — darunter Telegram-Angebote bis zurück in den August 2025, die internen Zugang zum Entsperren alter DxSale-LPs versprachen — während andere anmerkten, dass dasselbe Ergebnis auch aus einer Kompromittierung des privaten Schlüssels des privilegierten Owner-Kontos folgen könnte. Die geleerten Locks waren Altpositionen; betroffene Token-Teams und Liquiditätsanbieter hatten kaum Handhabe, und es wurde keine Rückholung gemeldet.

Warum es wichtig ist

DxSale erinnert daran, dass scheinbar abgeschaltete Infrastruktur dennoch einen aktiven privilegierten Schlüssel tragen kann. Ein Locker existiert, um zu garantieren, dass sich Mittel nicht bewegen können — eine stille Eigentumsübertragung kehrt damit das gesamte Sicherheitsversprechen um. Das Muster privilegierten Zugriffs gleicht Admin-Schlüssel-Abzügen wie Munchables und dem Owner-Key-Missbrauch bei Atlantis Loans, während die Rug-nahe Mehrdeutigkeit an Insider-verdächtige Exits wie Merlin DEX erinnert. Ob Leck oder Insider-Job — die Lehre ist dieselbe: Ein Lock ist nur so vertrauenswürdig wie der Schlüssel dahinter.