DeFi协议DLMC遭遇定向闪电贷攻击，资金池损失逾22万美元
2026年6月24日，与BNB链上去中心化遗产管理协议相关联的DLMC代币遭遇严重资金流失，总损失金额约为222,560美元USDT。此次事件由TenArmor Security首次发现并通报，其监控系统在UTC时间11:15（BNB链区块106091607）识别出异常交易活动。
利用闪电贷操控定价机制实现利润套取
攻击者通过发起一笔约142万USDT的闪电贷，向PancakeSwap交易对（地址0x16b9a8…eb0dae）注入流动性，并触发辅助合约大规模买入DLMC代币，使合约内USDT储备量急剧上升。由于协议采用‘储备总额除以流通供应量’作为定价基准，且未将合约内部持有的新铸造代币纳入分母计算，导致代币价格从原价约0.41美元飙升至接近25美元。攻击者随后以虚假高价将约65,908个DLMC代币回售给协议，获取总计约164.6万美元的支付。在归还142.4万美元贷款后，净获利达222,560美元。
核心漏洞源于价格更新与存款逻辑不一致
根本原因在于协议的存款函数将新发行的大部分DLMC代币直接发送至合约自身地址，而价格更新机制（_updatePrice）未能将这部分非流通代币计入总供应量分母。这一设计缺陷使得推荐奖励可立即基于被人为抬高的储备价值进行赎回，形成无风险套利闭环。该漏洞与近期多个针对协议国库的攻击模式高度相似，如Polygon上的Ink Finance事件，均体现经济模型设计不当带来的系统性风险。
行业趋势：经济型攻击持续蔓延，防御需前置
本起事件是2026年上半年一系列以经济逻辑缺陷为目标的轻量级攻击之一。据5月加密安全报告统计，黑客在多起攻击中累计窃取超8400万美元，其中闪电贷与协议激励机制滥用成为高频手段。这类攻击尤其在交易成本低廉、验证速度快的BNB链上更具可行性。此外，类似问题也出现在Polygon上针对Royal遗产版税合约的攻击中，后者因内部会计逻辑错误允许攻击者在无需权限的情况下提取资金。两案共同揭示：即使无代码漏洞，不当的经济模型仍可能引发灾难性后果。截至目前，项目方尚未发布正式回应声明。
