오늘 아침 DBXen 계약이 악용되어 BlockSec Phalcon 모니터링에 따르면 약 15만 달러의 손실이 발생했습니다. 이번 공격은 ERC2771 트랜잭션에서 발신자 신원 불일치를 악용한 것입니다. 구체적으로, `burnBatch()` 함수의 `gasWrapper()` 데코레이터는 상태를 업데이트하기 위해 `_msgSender()`를 사용하는 반면, `onTokenBurned()` 콜백 함수는 `msg.sender`를 사용합니다. 이 불일치로 인해 `lastActiveCycle`이 잘못 업데이트되어 `claimFees()`와 `claimRewards()`의 로직이 혼란을 겪게 됩니다. 결과적으로 공격자들은 잘못 계산된 보상과 수수료를 이용해 계약을 조작하여 과도한 자금을 추출할 수 있었습니다.