SharkTeam：OKX DEX攻击事件分析及链上资产追踪
字数 1999 2025-08-10 08:28:21

OKX DEX攻击事件分析与安全防范教学文档

1. 事件概述

2023年12月12日，OKX DEX Proxy管理员私钥泄露，攻击者通过升级恶意合约获利约270万美元。本教学文档将详细分析攻击过程、技术原理、资产追踪路径，并提供安全防范建议。

2. 关键合约与地址

2.1 核心合约

  • OKX: Dex Aggregator合约: 0x70cbb871e8f30fc8ce23609e9e0ea87b6b222f58
  • UpgradeableProxy合约: 0x55b35bf627944396f9950dd6bddadb5218110c76
  • Proxy Admin合约: 0x3c18F8554362c3F07Dc5476C3bBeB9Fdd6F6a500
  • Proxy Admin Owner: 0xc82Ea2afE1Fd1D61C4A12f5CeB3D7000f564F5C6

2.2 攻击相关地址

  • 攻击发起者: 0xFacf375Af906f55453537ca31fFA99053A010239
  • 资金流向地址1: 0x1f14e38666cdd8e8975f9acc09e24e9a18fbc42d
  • 资金流向地址2: 0x0519eFACB73A1f10b8198871E58D68864e78B8A5
  • 恶意ProxyMain合约1: 0x5c4794d9f34fb74903cfafb3cff6e4054b90c167
  • 恶意ProxyMain合约2: 0xF36C407F3C467e9364Ac1b2486aA199751BA177D
  • 恶意Proxy合约创建者: 0x5A58D1a81c73Dc5f1d56bA41e413Ee5288c65d7F

3. 攻击流程详解

3.1 攻击时间线

  1. 22:20:35: EOA(0x5A58D1a8)创建ProxyMain合约(0x5c4794d9)
  2. 22:23:47: Proxy Admin Owner通过Proxy Admin将DEXProxy合约升级为新的执行合约(0x5c4794d9)
  3. 23:52:47: EOA(0x5A58D1a8)创建第二个ProxyMain合约(0xF36C407F)
  4. 23:53:59: Proxy Admin Owner再次通过Proxy Admin将DEXProxy合约升级为新的执行合约(0xF36C407F)

3.2 攻击技术原理

  1. 恶意合约功能:

    • 限制调用者必须是攻击者地址(0xFacf375A)
    • 执行Dex Aggregator合约的claimTokens函数

  2. claimTokens函数漏洞:

    • 验证代理是否可信
    • 一旦验证通过，调用OKX DEX: TokenApprove函数
    • 攻击者利用可信Proxy身份窃取被授权用户的资金

4. 链上资产追踪分析

4.1 攻击资金流向

  1. 攻击地址(0xFacf375A):

    • 通过中间地址(0x4A0cF014...)和Railgun:Relay转移资金
    • 最终转入多个OKX标签地址(如OKX 23、OKX 26等)

  2. 收款地址1(0x1F14E386):

    • 通过4个中间地址分散资金
    • 使用Railgun:Relay & Railgun: Treasury地址转移
    • 最终通过Stargate转移410,204 USDT至BNB Smart Chain

  3. 收款地址2(0x0519eFAC):

    • 通过中间地址(0x48E3712C)转移62万USDT
    • 最终通过Stargate转移617,964.77 USDT至Avalanche C-Chain

4.2 交易所关联

黑客可能在以下交易所开设账号并进行交易:

  • OKX
  • Gate.io
  • MEXC

5. 安全防范建议

5.1 私钥管理

  • 多重签名机制: 对关键管理操作实施多签验证
  • 硬件钱包存储: 将管理员私钥存储在硬件钱包中
  • 权限分离: 不同功能使用不同私钥控制

5.2 合约安全

  • 合约升级审计: 对所有升级合约进行严格的安全审计
  • 时间锁机制: 实施升级延迟机制，给社区反应时间
  • 权限最小化: 限制合约的可信代理列表

5.3 监控与响应

  • 异常行为监控: 建立合约升级和关键操作监控系统
  • 应急响应计划: 制定私钥泄露等安全事件的应急响应流程
  • 用户授权管理: 提供用户授权查询和撤销工具

5.4 事后追踪

  • 链上分析工具: 使用专业工具追踪被盗资金流向
  • 交易所协作: 与主要交易所建立安全协作机制
  • KYC取证: 对可疑交易所账户进行针对性KYC调查

6. 总结

本次攻击的根本原因是Proxy Admin Owner私钥泄露，导致攻击者能够部署恶意Proxy合约并窃取用户资金。项目方应加强私钥管理、合约安全设计和监控系统建设，用户则应谨慎授权并定期检查授权情况。

OKX DEX攻击事件分析与安全防范教学文档 1. 事件概述 2023年12月12日，OKX DEX Proxy管理员私钥泄露，攻击者通过升级恶意合约获利约270万美元。本教学文档将详细分析攻击过程、技术原理、资产追踪路径，并提供安全防范建议。 2. 关键合约与地址 2.1 核心合约 OKX: Dex Aggregator合约 : 0x70cbb871e8f30fc8ce23609e9e0ea87b6b222f58 UpgradeableProxy合约 : 0x55b35bf627944396f9950dd6bddadb5218110c76 Proxy Admin合约 : 0x3c18F8554362c3F07Dc5476C3bBeB9Fdd6F6a500 Proxy Admin Owner : 0xc82Ea2afE1Fd1D61C4A12f5CeB3D7000f564F5C6 2.2 攻击相关地址 攻击发起者 : 0xFacf375Af906f55453537ca31fFA99053A010239 资金流向地址1 : 0x1f14e38666cdd8e8975f9acc09e24e9a18fbc42d 资金流向地址2 : 0x0519eFACB73A1f10b8198871E58D68864e78B8A5 恶意ProxyMain合约1 : 0x5c4794d9f34fb74903cfafb3cff6e4054b90c167 恶意ProxyMain合约2 : 0xF36C407F3C467e9364Ac1b2486aA199751BA177D 恶意Proxy合约创建者 : 0x5A58D1a81c73Dc5f1d56bA41e413Ee5288c65d7F 3. 攻击流程详解 3.1 攻击时间线 22:20:35 : EOA(0x5A58D1a8)创建ProxyMain合约(0x5c4794d9) 22:23:47 : Proxy Admin Owner通过Proxy Admin将DEXProxy合约升级为新的执行合约(0x5c4794d9) 23:52:47 : EOA(0x5A58D1a8)创建第二个ProxyMain合约(0xF36C407F) 23:53:59 : Proxy Admin Owner再次通过Proxy Admin将DEXProxy合约升级为新的执行合约(0xF36C407F) 3.2 攻击技术原理 恶意合约功能 : 限制调用者必须是攻击者地址(0xFacf375A) 执行Dex Aggregator合约的claimTokens函数 claimTokens函数漏洞 : 验证代理是否可信 一旦验证通过，调用OKX DEX: TokenApprove函数 攻击者利用可信Proxy身份窃取被授权用户的资金 4. 链上资产追踪分析 4.1 攻击资金流向 攻击地址(0xFacf375A) : 通过中间地址(0x4A0cF014...)和Railgun:Relay转移资金 最终转入多个OKX标签地址(如OKX 23、OKX 26等) 收款地址1(0x1F14E386) : 通过4个中间地址分散资金 使用Railgun:Relay & Railgun: Treasury地址转移 最终通过Stargate转移410,204 USDT至BNB Smart Chain 收款地址2(0x0519eFAC) : 通过中间地址(0x48E3712C)转移62万USDT 最终通过Stargate转移617,964.77 USDT至Avalanche C-Chain 4.2 交易所关联 黑客可能在以下交易所开设账号并进行交易: OKX Gate.io MEXC 5. 安全防范建议 5.1 私钥管理 多重签名机制 : 对关键管理操作实施多签验证 硬件钱包存储 : 将管理员私钥存储在硬件钱包中 权限分离 : 不同功能使用不同私钥控制 5.2 合约安全 合约升级审计 : 对所有升级合约进行严格的安全审计 时间锁机制 : 实施升级延迟机制，给社区反应时间 权限最小化 : 限制合约的可信代理列表 5.3 监控与响应 异常行为监控 : 建立合约升级和关键操作监控系统 应急响应计划 : 制定私钥泄露等安全事件的应急响应流程 用户授权管理 : 提供用户授权查询和撤销工具 5.4 事后追踪 链上分析工具 : 使用专业工具追踪被盗资金流向 交易所协作 : 与主要交易所建立安全协作机制 KYC取证 : 对可疑交易所账户进行针对性KYC调查 6. 总结 本次攻击的根本原因是Proxy Admin Owner私钥泄露，导致攻击者能够部署恶意Proxy合约并窃取用户资金。项目方应加强私钥管理、合约安全设计和监控系统建设，用户则应谨慎授权并定期检查授权情况。