DxSale : 7,3 M$ siphonnés via une porte dérobée sur BNB Chain

DxSale, présenté comme une infrastructure de confiance pour des centaines de projets sur BNB Chain, est accusé d’avoir drainé 7,3 millions de dollars depuis plus de 1 400 pools de liquidité. L’opération, détectée par l’analyste on-chain Eye, implique un transfert de propriété dissimulé et plus de 80 sauts de wallets. Elle rappelle les risques que font peser les exploits sur des protocoles prétendument sécurisés sur l’ensemble de l’écosystème DeFi.

Au programme

Plus de 1 400 LP sur BNB Chain vidés, dont des verrous de liquidité remontant à 2021 (Eye, on-chain)

80 sauts de wallets et un transfert de propriété non divulgué identifiés par le chercheur Tahax

Des dépôts sur des adresses Binance suggèrent une tentative de blanchiment immédiat des fonds

Comment DxSale aurait-il opéré le drainage ?

Selon l’analyse on-chain d’Eye, l’adresse attaquante a reçu 104 BNB (environ 65 000 $ au cours du moment) depuis Bybit, il y a environ 20 heures, pour financer les frais de transaction. Elle a ensuite aspiré les liquidités de plus de 1 400 pools, collectant au passage plus de 1 200 BNB supplémentaires issus des LP drainés. L’ensemble a transité par plusieurs adresses de dépôt Binance, dans ce qui ressemble à une tentative de conversion rapide.

Le chercheur Tahax précise que l’opération repose sur 3 mécanismes combinés : un transfert de propriété des contrats jamais rendu public, une cascade de plus de 80 rebonds entre wallets intermédiaires, et l’exploitation simultanée de pools anciens dont les verrous de liquidité dataient de 2021. Cette architecture en couches évoque des tactiques similaires à celles observées lors de l’exploit sur les pools Litecoin MWEB, où la complexité technique visait à ralentir la détection.

Quels signaux pointaient vers DxSale avant l’incident ?

Un élément aggravant ressort de l’analyse de Wu Blockchain : dès août 2025, des captures d’écran circulaient sur le canal Telegram officiel de DxSale. Elles montraient une personne proposant un service de “déverrouillage de LP anciens datant d’avant 2021”, en revendiquant des connexions avec des membres internes de l’équipe.

Ce signal d’alerte, ignoré à l’époque, prend aujourd’hui une tout autre dimension. Si ces échanges s’avèrent authentiques, l’opération du 29 mai 2026 ne serait pas un hack externe classique mais une sortie d’arnaque préméditée - ce que le secteur nomme un exit scam. La distinction est importante : elle ferme la porte à une éventuelle responsabilité des utilisateurs ou à un bug de smart contract, et oriente directement la responsabilité vers l’équipe fondatrice.

Eye résume sa conclusion sans ambiguïté : plusieurs indices pointent vers une implication directe de l’équipe DxSale elle-même. Cette lecture converge avec ce qu’ont documenté des cas récents comme l’exploit StablR sur EURR et USDR, où la frontière entre vulnérabilité technique et malveillance interne s’est avérée ténue.

Pourquoi les verrous de liquidité n’ont-ils pas protégé les investisseurs ?

DxSale s’était précisément construit une réputation autour de la fonction de verrouillage de liquidité - un mécanisme censé empêcher les équipes de projets de retirer les fonds avant une date prédéfinie. Des milliers de petits projets sur BNB Chain ont utilisé cette fonctionnalité comme argument de sécurité auprès de leurs communautés.

L’incident du 29 mai expose une faille structurelle : si l’administrateur du protocole de verrouillage conserve une porte dérobée dans les contrats, le verrou ne protège que contre les tiers, pas contre l’opérateur lui-même. Les 1 400 pools touchés avaient leurs fonds théoriquement “sécurisés” depuis 2021 - certains depuis 5 ans. C’est précisément cette durée qui rendait les détenteurs moins vigilants.

Ce mécanisme de confiance abusée n’est pas sans rappeler les risques identifiés dans les pools de liquidité Stellar avec verrous USDC, où la question de la gouvernance des contrats sous-jacents reste ouverte. Pour mémoire, les contre-exploits comme celui de Wormhole montrent que la récupération de fonds reste exceptionnelle dans ces situations.

Notre lecture L’affaire DxSale illustre une faille systémique peu discutée : les protocoles de verrouillage de liquidité ne valent que ce que vaut l’équipe qui les administre. Cinq ans de verrous peuvent être annulés en quelques heures si le contrat conserve une fonction de transfert de propriété dissimulée. Le fait que des signaux existaient dès août 2025 sur Telegram interroge aussi la réactivité de la communauté BNB Chain face aux alertes de sécurité informelles.

À retenir

DxSale est accusé d’un drainage prémédité de 7,3 M$ via une porte dérobée activée sur 1 400 pools BNB Chain. Le financement initial depuis Bybit et les sorties via Binance sont documentés on-chain. Les enquêteurs surveillent désormais les mouvements vers des mixeurs ou des exchanges décentralisés.