损失超千万美元!UXLINK安全事件漏洞分析与被盗资金追踪

9月23日，UXLINK遭遇了一次因多签钱&包私钥泄露导致的攻击——攻击者通过增发代币并抛售，获利超过1130万美元。Beosin安全团队对事件进行了完整的漏洞分析及资金追踪，以下是复盘梳理。

事件回顾

这次问题的根源并不复杂：UXLINK项目合约的私钥泄露后，攻击者地址被添加为合约的多签账户，而原有的其他多签账户被移除，合约签名阈值被重置为1。换句话说，只需要攻击者自己签名就能执行合约操作——相当于获得了对合约的完全控制权。随后，攻击者开始批量增发UXLINK代币并卖出变钱。

攻击者一共进行了5次增发，三个收取代币地址（0xeff9cefdedb2a34b9e9e371bda0bf8db8b7eb9a7、0x2ef43c1d0c88c071d242b6c2d0430e1751607b87、0x78786a967ee948aea1ccd3150f973cf07d9864f3）负责将UXLINK代币通过兑币、中转和跨链操作兑换为ETH和DAI，最终沉淀在以太坊链地址上。

被盗资金追踪

以下是Beosin安全团队对主要资金流向的拆解：

ARBITRUM链

黑客地址：0x6385eb73fae34bf90ed4c3d4c8afbc957ff4121c
被盗地址：0xCe82784d2E6C838c9b390A14a79B70d644F615EB
盗取金额：约904,401 USDT

得手后，黑客将904,401 USDT兑换成215.71 ETH，然后通过跨链操作转移至以太坊地址0x6385eb73fae34bf90ed4c3d4c8afbc957ff4121c上。

Ethereum链

黑客地址：0x6385eb73fae34bf90ed4c3d4c8afbc957ff4121c
被盗地址：0x4457d81a97ab6074468da95f4c0c452924267da5、0x8676d208484899f5448ad6e8b19792d21e5dc14f、0x561f7ced7e85c597ad712db4d73e796a4f767654
盗取资金：25.27 ETH、5,564,402.99 USDT、3.7 WBTC、50万USDC

随后，黑客将5,564,402.99 USDT和50万USDC兑换成6,068,370.29 DAI，将所有资金归集到地址0xac77b44a5f3acc54e3844a609fffd64f182ef931。截至分析时，该地址余额为：240.99 ETH、6,068,370.29 DAI、3.7 WBTC。

根据Beosin Trace的分析结果，所有被盗资金目前仍然存放在攻击者的多个地址中，并未转移或混币。Beosin Trace已将相关地址全部加入黑名单并持续监控。以下是攻击者相关地址的当前余额情况：