加密赌场duelbits在Ethereum、Bnb chain和Tron上的热钱包出现约420万美元异常流出
Duelbits热钱包遭盗约420万美元
链上监测机构scam sniffer率先标出，加密赌场duelbits在ethereum、bnb chain和tron上的热钱包出现约420万美元异常流出，资金打入新地址，路径符合私钥失窃而非合约漏洞。最初清单为836枚eth、162万枚usdt、9.7万枚usdc、209枚bnb、19.2万枚trx，随后大部分被兑成eth。
后续链上复盘把范围扩到solana与bitcoin。yfarmx按交易时间戳还原：9月24日08:58至09:56 utc约57分钟内，五条链热钱包被清空；以太坊侧还转出约593430枚usdt、96805枚usdc、31515枚dai和124亿枚shib。按当日下午计价，五条链合计约607万美元，经debridge、relay等桥汇成约2234.60枚eth，集中到单一地址，约602万美元，该地址仅有一笔0.1枚eth测试转出。
创始人之一joe在公开账号确认约700万美元被盗，称仍在查清方式和路径，并写“用户资金安全”；平台于11:42 utc前后宣布调查并下线，待热钱包补齐再开。dappradar事发前将其排在追踪的43家加密赌场中第17，监测钱包存款约570万美元。2024年2月该平台已有过约464万美元被盗纪录；2023年同类私钥失窃曾从stake热钱包拿走约4000万美元。
攻击地址在evm侧被标到0xa77e24开头、05aef76结尾；资金先走sunswap等把tron上的usdt换成trx，再分多笔桥到以太坊。peckshield同期把eth与bnb chain异常流出估在430万美元左右，与scam sniffer首报同一量级，差额来自后补的btc、sol和meme仓。
机制上，卖出的是热钱包里为出款准备的运营资金，买入的是能同时签五条链的同一套私钥。事件驱动是密钥失控，不是市场波动。资金从赌场运营地址经桥和兑换进入单一eth地址，等待下一步混淆或场外变现；受益的是控制该地址的攻击方，承压的是必须用自有资金补热钱包、并承受下线停业的duelbits，以及把余额放在热钱包出款队列里的用户——官方称用户资金安全，但平台在冷热分层上再次暴露同一弱点。稳定币和山寨先被卖掉，最终库存 eth，说明攻击者优先要可在以太坊上统一调度的筹码。
来源：公开信息
ABAB AI 解读
duelbits是库拉索牌照下的加密赌场兼体育博彩，热钱包必须24小时热着，才能即时派彩。2024年2月已经按同一逻辑被掏过约464万美元，2026年9月再来一轮，说明上次之后没有把多链热密钥拆成独立控制面。scam sniffer先报三链420万美元，是因为eth、bsc、tron标签最容易被监控器命中；btc与sol滞后出现，是标签和跨链追踪要时间。创始人强调用户资金安全，等于承认被掏的是运营热钱包，冷端或用户余额另置；但热钱包规模已接近平台链上存款总量，安全垫并不厚。
资本路径是“热钱包浮存—私钥—跨链桥—单一eth地址”。攻击者57分钟内完成五链清空，说明密钥是一套，不是五次独立入侵。桥接选debridge和relay，是为了把非eth资产尽快变成以太坊上可停留的eth，降低在稳定币发行方冻结地址时的暴露。最终2000多枚eth趴着不动，常见于等人跑或等混币窗口，不是立刻砸盘。平台下线补钱包，成本是停业加用自有资金填坑，股权和品牌折价先于用户挤兑出现。
类比2023年stake的4000万美元热钱包失窃、以及多次中心化博彩和交易所的“热端被掏、冷端犹在”：都是把即时兑付当成产品，把私钥当成单一故障点。行业阶段仍停在多链热钱包共用签名，而不是每条链独立硬件与阈值签名。谁能把出款热钱包拆到无法用一把钥匙清空，谁就能在赌场赛道活过下一轮；谁继续用同一把钥匙管五条链，谁就会在监测器上再次被标红。
结构判断属于技术替代尚未完成时的运营风险集中。定价权在出款速度与密钥管理之间：要秒级派彩就必须热，要热就必须把私钥放进可签多链的环境。机制是多链扩张放大了同一把钥匙的表面积，桥只负责把赃款格式统一，不负责解释密钥从哪漏的。在阈值签名和独立链热端普及前，加密赌场的真实杠杆是热钱包占存款的比例，不是牌照文本。
ABAB News · 认知定律
多链热钱包共用一把钥匙，等于五条链一起开门
桥不创造黑客，只把赃款兑成同一种币
再盗一次，说明上次修的是公告不是密钥架构