11月16日，鏈上交易終端DEXX用戶資產遭竊，多個meme幣於今日凌晨短時間內出現大額損失。目前安全公司尚未確定被盜具體金額，社區有傳言稱損失資產已達1600多萬美元。
DEXX創始人Roy今早表示將賠償用戶的損失，目前已有不少用戶反映賬戶資產被隔離至安全地址。
DEXX 安全漏洞
在DEXX被盜事件發生後，社區開始審視這個被返利鏈接充斥的專屬表情包交易平臺，推廣DEXX的KOL也遭到用戶的憤怒。
安全機構慢霧創始人餘憲表示，“被盜者與利用DEXX進行營銷/MEME炒作有關，私鑰屬於DEXX中心化保管，肯定是被泄露了。至於泄露方式等調查披露。”
社區發現，根據開發者工具中的export_wallet請求信息，在導出DEXX私鑰時，私鑰是明文呈現的，也就是說用戶的私鑰其實是在官方服務器上的。如果通訊不加密，攻擊者可能在傳輸過程中截取用戶的私鑰。即使採用HTTPS傳輸，直接傳輸私鑰也可能因瀏覽器漏洞或其他安全問題導致隱私數據泄露。
因此有用戶開玩笑說“DEXX重新定義了非託管錢包”。
此外，錢包應用 OneKey 表示，DEXX 多次請求“上傳用戶剪貼板內容”的權限，可能上傳了用戶的剪貼板內容。“如果你已經在手機上覆制了私鑰助記詞，請儘快轉移資產。”
DEXX 的審計由 Certik 完成，其審計報告顯示，DEXX 得分爲 59.31 分。這個不及格的分數意味着多達 9 項風險。其中，“中心化”這一主要風險尚未解決；4 項中等風險中，包括“易受攻擊的代碼”在內的 2 項已解決，2 項尚未解決；4 項輕微風險中，只有 1 項已解決。
有用戶表示，DEXX 和各類交易機器人在安全性方面都是赤裸裸的，項目組無一例外都抱着同樣的心態——“反正用戶不懂也不關心，還有幸運的同行做同樣的事情但還沒被抓住‘盜版者’，反正我要是在關心的話就要付出很大的研發成本和用戶體驗的代價，所以沒必要在意這些。”
與BananaGun和Unibot之前都經歷過盜竊風險有關。對於鏈上交易，仍然是“不是你的鑰匙，不是你的錢”。
最新信息及調查進展
11-16 14:12
據GoPlus安全監控發現，專門針對DEXX被盜用戶的“維權社區”、“DEXX被盜註冊”、“DEXX賠償”等與維權、賠償相關的釣魚詐騙，用戶需小心識別，切勿上傳私鑰/助記詞或連接錢包進行確認，避免造成二次傷害。
11-16 14:02
慢霧創始人餘憲在社交媒體上發佈了 DEXX 事件的最新消息，稱慢霧已經收到近 500 份與 DEXX 被盜相關的信息請求。事件分析仍在進行中，目前初步判斷損失在數千萬美元。（因爲部分 Meme 幣價格波動過大），幾乎每個受害者對應的攻擊者地址都不一樣，說明此次事件中的攻擊者預謀已久，3 天前就通過 XMR 兌換了相關 gas 源。
11-16 13:27
區塊鏈安全審計公司 CertiK 發表聲明稱，近期收到大量來自 DEXX 平臺用戶的求助請求，用戶反映其賬戶資產被清空。CertiK 覈實該安全事件發生在 Solana 鏈上，但該鏈不在 CertiK 審計的範圍內。
CertiK表示，事件發生的主要原因是DEXX平臺私鑰管理不當，導致官方私鑰泄露。
11-16 12:30
慢霧創始人餘賢在社交媒體上發佈對網上“DEXX用戶共計被盜4.88億美元”相關截圖的迴應，稱DEXX案件中每個受害者對應的黑客地址都是不同的，被盜資金不會集中在同一個地址集合中。
meme 價格更新
11-16 08:56
根據GMGN Market數據顯示，或許是受到DEXX被盜的影響，BAN、LUCE、PNUT等Meme均出現了不同程度的下滑，其中：
· 自事件發生以來，BAN 已下跌約 30%，目前報價爲 0.126 美元
· 自事件發生以來，LUCE 已下跌約 20%，目前報價 0.211 美元
· PNUT自事件發生以來已下跌約12.5％，目前報價爲1.72美元
來源鏈接
<p>文章《是自我盜竊還是黑客盜竊？追蹤 DEXX 被盜 | 時間線》首次出現在 CoinBuzzFeed 上。</p>
