Slowmist: En enkelt manglende kodelinje kostede DIP-tokenet 111.000 dollar

• </span></p>
• <p><span style="font-weight: 400;">Hovedpunkter: </span></p>
• <ul>
• <li><span style="font-weight: 400;">Slowmist oplyste, at en manglende return-sætning i DIP-tokenets kode førte til, at der blev stjålet omkring 111.098 USD i USDC. </span></li>
• <li><span style="font-weight: 400;">Fejlen fordoblede overførslerne via Pancakeswap og bidrog dermed til de over 2.150 hændelser, som Slowmist har registreret i år. </span></li>
• <li><span style="font-weight: 400;">DeFi har mistet over 1 milliard dollar til udnyttelser i 2026, hvilket holder efterspørgslen efter revision høj frem mod 2. halvår.</span></li>
• </ul>
• <p><span style="font-weight: 400;">

En overførsel, der blev udført to gange

Slowmist påpegede hændelsen i en trusselsadvarsel og anslog tabet til 111.097,6 USDC. Firmaet oplyste, at DIP-tokenets "_transfer()"-funktion manglede en "return"-sætning i den gren, der håndterer handler, der dirigeres gennem Pancakeswap-routeren (en tjeneste, som decentraliserede børser bruger til at bytte tokens mod likviditetspuljer). Teamet tilføjede yderligere:

»Angriberen udnyttede dette ved at kalde `skim(router)` for at udløse dobbelte DIP-overførsler og derefter `sync()` for at indstille DIP-reserven til en ekstremt lav værdi, hvorved AMM-prisen blev manipuleret for at tømme puljen.«

På trods af en detaljeret redegørelse nævnte Slowmist ikke angriberens navn eller oplyste, om de stjålne midler kunne genvindes i nær fremtid.

Mekanikken bag hele operationen synes at være ret banal, da decentraliserede børser som Pancakeswap er afhængige af automatiserede routerkontrakter til at flytte tokens mellem handlende og likviditetspuljer. Et token kan frit tilføje brugerdefineret logik til sin egen overførselsfunktion, men når denne logik håndterer router-interaktioner forkert, åbnes døren for gentagne, utilsigtede udbetalinger.

I DIP-sagen betød den manglende "return", at kode, der burde have stoppet efter én overførsel, i stedet fortsatte og blev udført en anden gang. Hver handel, der berørte routeren, udbetalte reelt to gange, hvilket stille og roligt tappede USDC fra puljen.

Fejlen krævede hverken et flash-lån, et orakel-trick eller en stjålet nøgle for at fungere (kun en fejl i tokenets egen kode). Sådanne router-bevidste tokens med gebyr ved overførsel er almindelige på Binance-tilknyttede kæder, hvor projekter ofte tilføjer ekstra adfærd til standard-token-skabeloner. Hver tilføjet forgrening er endnu et sted, hvor en fejl kan gemme sig, og automatiserede swaps kan udløse denne fejl tusindvis af gange, før nogen opdager det.

En del af et dyrt 2026 for DeFi

DIP-tabet er lille sammenlignet med årets mest omtalte sikkerhedsbrud, men det passer ind i en vedvarende række af fejl på kodniveau. Alene Slowmists offentlige hackdatabase har registreret mere end 2.150 hændelser og omkring 37,8 milliarder dollar i samlede tab. I de seneste dage har trackeren registreret et tab på 105.000 dollar hos Thetanuts Finance og et udnyttelsesangreb på Aztec Connect til en værdi af 2,1 millioner dollar.

Mere specifikt kan man se, at fejl i smart contracts har været årsagen til en stor del af årets skader, idet DeFi-protokoller har mistet mere end 1 milliard dollar til hacking og udnyttelse af sårbarheder (pr. sidste måned). Slowmist sporede selv udtømningen hos Aztec Connect til en forældet kontrakt og tilskrev et tyveri på 174.570 dollar hos Grok-Bankr til en kunstig intelligens-agent (AI), der blev narret til at godkende en overførsel.

Endelig rapporterede Bitcoin.com News tidligere på året, at Zetachain satte sit mainnet på pause, efter at Slowmist havde identificeret en manglende adgangskontrol i dets GatewayZEVM-kontrakt – endnu et eksempel på, hvordan et enkelt logisk hul kan give angribere en åbning.

Da der ikke er bekræftet nogen genopretning, og angriberen stadig er uidentificeret, understreger DIP-episoden en tilbagevendende lære, nemlig at en enkelt manglende linje kan være nok til at tømme en pulje, og uafhængige revisioner forbliver den vigtigste forsvarslinje, i takt med at DeFi-tabene stiger.