一个可以把任何池子瞬间变成 99% 税的 Hook

01合约身份

所有事实均取自 BNB Smart Chain 公开链上数据与公开区块浏览器 API。

02它是怎么工作的

逆向出的 17 个函数中，只有一个是外部可写入口。

PancakeSwap Infinity 允许池子声明「动态手续费」（fee = 0x800000）。这类池每次交易前都会回调 hook 的 beforeSwap，并采纳 hook 返回的费率覆盖池子原本的设定。本 hook 对这个机制的实现是：

// afterInitialize —— 建池时把该池费率初始化为 0
customFees[poolId] = 0

// beforeSwap —— 每笔交易前，无条件返回表里的值 + 覆盖标志位
return (selector, 0, customFees[poolId] | 0x400000)

// setCustomFeeById —— 唯一的外部写入口
function setCustomFeeById(bytes32 poolId, uint24 fee) {
    require(msg.sender == owner, "Not owner");
    require(fee <= 990000, "Fee too high");   // = 99%
    customFees[poolId] = fee;
}

三个要点决定了风险性质：

• 无条件覆盖。beforeSwap 不做任何判断——不看交易大小、不看方向、不看价格冲击。池子的真实费率永远等于 owner 在表里写的那个数。
• 上限就是 99%。字节码中 PUSH3 0f1b30（990000）是唯一的护栏。作为对照，PancakeSwap 官方的动态费 hook 把自己封顶在 5%。
• 作用于任何人的池。setCustomFeeById 接受任意 poolId。只要某个池在建池时挂了这个 hook，无论建池人是谁、流动性是谁提供的，费率都由本 hook 的 owner 说了算。

03链上行为：99% 不是理论上限

该 hook 自部署以来的全部 72 次费率变更记录，按池分组还原。

费率变更记录（节选高位事件）

04分叉复现：一笔交易，98.95% 的损失

在 BNB Smart Chain 主网分叉环境（Foundry anvil）中，对当前仍在运行的 KII/USDT 池执行完整攻击路径。

买卖双向对称受损——这意味着它既能吃掉买家的本金，也能把已经持币的人锁在池子里（卖出等于放弃 99%），效果等同于一个可以随时开关的貔貅盘。

05最坏情况下的攻击剧本

这套机制的危险之处在于，它可以被组合成一次原子化的、不依赖价格波动的提取。

相比传统三明治攻击，这个路径不需要推动价格、不受滑点保护约束——受害者设置的滑点上限保护的是价格，而这里被拿走的是手续费。用户即便把滑点调到 0.1%，也拦不住这一笔。

06它做不到的事

一份有用的风险评估也需要说清边界。以下几项经字节码与权限位图确认为不成立。

换句话说：这个 hook 的全部危险都集中在一处——一个不受约束的费率旋钮。但因为手续费在集中流动性做市中会流向 LP，而 LP 头寸是可以在同一个区块里临时补上的，这一个旋钮已经足以构成完整的资金提取路径。

07结论与建议