Slowmist 報告了 DIP 代幣中的程式碼弱點：由於代幣轉帳函式中缺少 return 語句，導致透過該問題被抽走 111,097.6 USDC。該漏洞讓在交易透過 Pancakeswap 路由器路由時可進行雙重轉帳，使攻擊者得以操縱自動化做市商（AMM）價格並抽乾流動性池。此次事件加總到 Slowmist 在 2026 年記錄的 2,150 起以上漏洞濫用；而在這一年裡，DeFi 協議因駭客攻擊與程式碼層級失敗已損失超過 10 億美元。
缺少 return 語句導致可進行雙重 DIP 代幣轉帳
Slowmist 在一則威脅情報警報中指出這起事件，並將損失鎖定為 111,097.6 USDC。該公司表示，DIP 代幣的「_transfer()」函式在處理透過 Pancakeswap 路由器路由的交易分支時，缺少「return」語句。Slowmist 表示：「攻擊者透過呼叫 skim(router) 來觸發雙重 DIP 代幣轉帳，接著再呼叫 sync() 將 DIP 備付金設定成極低的數值，藉此操縱 AMM 價格並抽乾流動性池。」
Slowmist 未點名攻擊者，也未說明被盜資金是否能夠追回。
像 Pancakeswap 這樣的去中心化交易所依賴自動化路由器合約，將代幣在交易者與流動性池之間移轉。在 DIP 案中，缺少的「return」意味著本應在一次轉帳後停止的程式碼，卻會再次執行。每一次碰到路由器的交易都會被支付兩次，導致流動性池中的 USDC 被侵蝕。
該漏洞不需要閃電貸（flash loan）、不需要預言機操縱，也不需要竊取金鑰。路由器感知型（router-aware）以及支援收費轉帳（fee-on-transfer）的代幣在 Binance-linked chains 上很常見，因為專案會在標準代幣模板上加入額外行為。
Slowmist 將 DIP 濫用列入 2026 年 2,150 起以上事件
Slowmist 的公開駭客資料庫已記錄 2,150 起以上事件，累計損失約 378 億美元。追蹤器在近期也記錄了 Thetanuts Finance 的 105,000 美元損失，以及 Aztec Connect 的 210 萬美元濫用。
智慧合約錯誤造成了今年大部分的損害：截至上個月，DeFi 協議因駭客攻擊與濫用已損失超過 10 億美元。Slowmist 將 Aztec Connect 的抽乾事件追溯到一個已棄用的合約，並將 174,570 美元的 Grok-Bankr 竊取歸因於一名被誘導去核准轉帳的 AI 代理。
Bitcoin.com News 早些時候報導，今年稍早，當 Slowmist 指出其 GatewayZEVM 合約存在缺少存取控制（access control）的問題後，Zetachain 暫停了主網。
FAQ
是什麼原因導致 DIP 代幣在 USDC 損失了 111,000 美元？
Slowmist 表示，DIP 代幣的「_transfer()」函式中缺少 return 語句；當交易透過 Pancakeswap 路由器路由時，該問題允許雙重轉帳，並從流動性池抽走 111,097.6 USDC。
Slowmist 在 2026 年記錄了多少起 DeFi 濫用事件？
Slowmist 的公開駭客資料庫已在 2026 年記錄了 2,150 起以上事件；所有已記錄濫用的累計損失約達 378 億美元。
