Exploit del bloqueador de liquidez de DxSale

El 27 de mayo de 2026, DxSale, un veterano servicio de launchpad y bloqueo de tokens en BNB Chain, perdió aproximadamente 7,3 millones de dólares cuando un atacante drenó BNB de más de 1.400 posiciones antiguas de bloqueo de liquidez que databan de 2021.

Qué ocurrió

Los fondos estaban en un antiguo contrato de bloqueo de liquidez de DxSale. Unos 269 días antes del drenaje, el desplegador de DxSale llamó discretamente a transferOwnership para ceder el control del antiguo bloqueador a una nueva cartera, sin anuncio público ni aviso de migración. El control pasó luego por más de 80 transacciones antes de llegar a la dirección del atacante (0xC457…). Con privilegios de propietario, el atacante manipuló las marcas de tiempo de desbloqueo y redujo las comisiones de retiro a casi cero, y después usó la delegación por lotes de EIP-7702 y contratos personalizados para desbloquear y vaciar cientos de pools en un único flujo coordinado. Los rastreadores on-chain siguieron unos 1,87 millones de dólares en BNB hacia carteras intermediarias y de ahí a direcciones de depósito de Binance.

Consecuencias

Los investigadores señalaron fuertes indicios de participación interna —incluidas ofertas en Telegram desde agosto de 2025 que afirmaban tener acceso interno para desbloquear viejos LP de DxSale—, aunque otros apuntaron a que el mismo resultado podría derivarse de un compromiso de la clave privada de la cuenta propietaria privilegiada. Los bloqueos vaciados eran posiciones heredadas; los equipos de tokens y los proveedores de liquidez afectados tuvieron poco margen de acción, y no se informó de ninguna recuperación.

Por qué importa

DxSale recuerda que una infraestructura que parece renunciada puede seguir teniendo una clave privilegiada activa. Un bloqueador existe para garantizar que los fondos no se puedan mover, de modo que una transferencia de propiedad silenciosa invierte sigilosamente toda la promesa de seguridad. El patrón de acceso privilegiado refleja drenajes con clave de administrador como Munchables y el abuso de clave de propietario en Atlantis Loans, mientras que la ambigüedad cercana al rug recuerda a salidas con sospecha de participación interna como Merlin DEX. Sea fuga o trabajo interno, la lección es idéntica: un bloqueo solo es tan fiable como la clave que hay detrás.