DxSale 发布事件澄清：v2 及后续流动性锁定合约未受影响
DxSale 发布事件澄清：v2 及后续流动性锁定合约未受影响
近期发生在 BNB Chain 上的流动性锁利用事件 再次引发了 DeFi 领域一个熟悉的问题：随着底层链的演进，“老旧的基础设施”是否会再次变得危险？ 2026 年 5 月下旬，攻击者瞄准了可追溯到 2021 年的旧版 DxSale 流动性锁定合约，触发了链上资金转移，并引发了曾依赖 DxSale 早期锁定架构的项目方的担忧。
在 2026 年 5 月 30 日至 31 日（取决于时区）发布的后续澄清中，DxSale 表示该问题仅限于其 v1 锁定合约，而 v2 及更高版本（v2、v3 等）未受影响，据称后续合约已经过审计，用户锁定的资产依然安全。
以下是对事件发生情况、链级“原子性”执行功能为何可能暴露旧合约中的边缘案例，以及流动性提供者 (LP) 和代币团队应如何应对的详细分析。
BNB Chain 上的事件经过（2026 年 5 月 29 日）
2026 年 5 月 29 日，有报道称在 BNB Chain 上大约 1,400 个旧的 LP 头寸——主要来自 2021 年——被盗，估计损失约 730 万美元。多份追踪此次事件的分析指出，攻击者采用了一种与所有权/特权控制操纵一致的方法，然后通过兑换和存款转移资产。
在此次事件中被广泛引用的攻击者地址为：
- 0xC4574DDE...2EeaFA69 — 可在 BscScan 地址追踪 查看
公开摘要还描述了攻击者将资金整合为 BNB，将 2,958 BNB（当时约合 187 万美元）转移到两个主要钱包，然后通过 PancakeSwap 进行交易并转移到交易所充值地址。有关事件的易于理解的概述，请参阅 Cointelegraph 对 TradingView 的报道。
DxSale 的核心观点：影响范围仅限于 v1
DxSale 的澄清强调了三个关键声明：
- 受影响的合约是 2021 年推出的早期“v1”流动性锁定合约
- v2 及更高版本的锁定合约未受影响
- 后续一代的合约采用了不同的架构，并经过了安全审查/审计
尽管用户应始终核实其特定锁定的合约地址和审计范围，但您可以通过 CertiK 的 DxSale 项目 Skynet 页面 来交叉核对 DxSale 的项目安全和审计历史。
对于不熟悉 DxSale 版本管理的用户，DxSale 自己的文档区分了较新的锁定器（例如，DxLock V2 流动性锁定文档），这有助于确认某个特定项目使用了何种工具和合约代。
“原子性交易”为何会打破旧观念
DxSale 将根本原因归结为BNB Chain 新的“原子性交易”执行模式与早期 v1 锁定器设计之间的兼容性问题。
在现代 EVM 生态系统中，“原子性”通常指将多个操作捆绑到一个“全有或全无”的交易中（因此中间状态永远不会持久）。通过更广泛地采用账户抽象和批量处理原语，包括 EIP-7702 风格的机制，这一趋势在 2025-2026 年加速发展。
BNB Chain 公开了讨论智能钱包和账户抽象升级——请参阅 BNB Chain 的 Pascal 硬分叉公告。关于普及单笔交易委托/批量处理概念的基础标准，请参阅 以太坊 EIPs 上的 EIP-7702。
DeFi 安全的关键启示
即使一个遗留合约“已运行多年”，新的交易模式也可能使旧的威胁模型失效——特别是如果合约依赖于管理员权限、不寻常的所有权流或对函数调用如何组合的假设。
这也是为什么 2025-2026 年 DeFi 安全讨论越来越多地关注：
- 不可升级 vs. 可升级合约的风险，
- 特权角色和所有权边界，
- 以及合约在新的链功能和执行环境下是否仍然安全。
流动性提供者和代币团队现在应做什么
1) 确认您的 LP 使用的是哪个锁定器版本
如果您是一个较旧的 BNB Chain 项目社区成员，不要想当然地认为“已锁定”就等同于安全。请要求团队提供：
- 确切的锁定器合约地址，
- 锁定 ID / 锁定页面，
- 以及关于它是 v1 还是 v2+ 的确认。
如果您只有地址，请从 BscScan 开始，检查合约创建时间、所有权函数和历史交易。
2) 将“审计”视为必要条件，而非充分条件
审计可以降低风险，但不能消除风险——尤其是在链行为不断演变的情况下。请将审计参考作为起点，然后评估：
- 是否仍然存在特权函数？
- 是否可以更改所有权？
- 是否存在影响提款的管理员可控参数？
3) 假设攻击者会瞄准被遗忘的合约
此次利用事件说明了一种反复出现的模式：攻击者常常会搜寻沉睡的流动性和遗留合约，因为这些合约的监控较弱，响应者也较慢。
4) 在迁移和紧急操作期间保护您的签名密钥
类似此类的事件通常会触发“紧急迁移”，这恰恰是网络钓鱼和恶意签名提示的高发期。
像 OneKey 这样的硬件钱包可以通过将私钥离线并要求在设备上进行交易确认来提供帮助——降低受损的计算机或浏览器扩展静默签名有害授权的可能性。这并不能修复易受攻击的 DeFi 合约，但当您在压力下与 dApp 交互时，它能实质性地提高您个人的操作安全性。
总结
- 2026 年 5 月的事件凸显了遗留的流动性锁定器合约如何可能再次成为系统性风险，尤其是在执行功能快速演变的快速发展的链上。
- DxSale 的声明将问题界定为仅限于 2021 年的 v1 锁定器，v2 及更高版本的合约未受影响。
- 对于用户和团队来说，可行的后续行动是核查旧的锁定，验证合约版本，并将安全实践更新为能应对 2026 年的现实：原子性批量处理、委托执行以及攻击者更为迅速的行动策略。
如果您负责管理国库或在 BNB Chain 上经常签署 DeFi 交易，请考虑使用 OneKey 作为您更广泛安全策略的一部分：硬件级别的密钥隔离、谨慎的授权管理以及冷静、可验证的事件响应流程。
