تعرضت منصة BunniXYZ لتبادل إثيريوم لخرق بقيمة 2.3 مليون دولار

المصدرCryptopolitan

2 سبتمبر 2025 08:12

شاهدت في الوقت الحقيقي كيف تم سحب BunniXYZ أمس. يوم آخر، استغلال آخر في مجال العملات الرقمية - هذه المرة مع تدفقات غير مصرح بها تبلغ حوالي 2.3 مليون دولار من بورصة إيثيريوم.

استهدف الاختراق أحد العقود الذكية لـ BunniXYZ، حيث كان المهاجم يركز بشكل أساسي على احتياطيات العملات المستقرة. كانت CertiK سريعة في إطلاق الإنذار:

#CertiKInsight 🚨

لقد حددنا استغلال بقيمة 2.3 مليون دولار على عقد @bunni_xyz BunniHub.

لقد قام المستغل بنقل الأموال إلى 0xe04efd87f410e260cf940a3bcb8bc61f33464f2b.

< كن يقظًا!

— تنبيه CertiK (@CertiKAlert) 2 سبتمبر 2025

من خلال النظر إلى مسار المعاملات، قام القراصنة باستهداف خزائن USDT و USDC قبل أن يقوموا بخلط الرموز من خلال نظام Ethereum البيئي، مما أدى في النهاية إلى جمع مزيج من ETH والعملة الثابتة. لقد أدركت BunniXYZ الهجوم بسرعة وأغلقت جميع العقود الذكية، لكن ليس قبل أن يُلحق ضرر كبير.

استمر المستغل في تبادل الأموال إلى ETH من خلال بروتوكولات DeFi المختلفة بعد ذلك. من المثير للاهتمام أنهم لم يقوموا على الفور بخلط أو إخفاء الأموال بعد هذه التحركات الأولية. تنضم هذه الاختراق إلى اتجاه متزايد من الهجمات “الأصغر” تحت $10M التي لا تزال تدمر البروتوكولات وتدمر ثقة المستخدم.

تثير هذه الاستغلالات، مثل هجوم BetterBank الأخير، تساؤلات حول إمكانية وجود تدخل داخلي أو قراصنة كوريين شماليين يقومون بإدخال كود خبيث في مشاريع Web3.

ضربت في ذروتها الشعبية

تعمل BunniXYZ عبر Ethereum و Unichain، مستفيدة من تقنية Uniswap V4 لإنشاء خزائن متخصصة بقواعد تداول معقدة. يبدو أن توقيت الهجوم محسوب - إذ وقع justo عندما وصلت البورصة إلى ذروة محلية بقيمة $60M في القيمة المقفلة.

على الرغم من كونها جديدة نسبيًا (أطلقت في فبراير)، إلا أن BunniXYZ قد وجدت مكانتها بين بروتوكولات التمويل اللامركزي الناشئة. كان شهر أغسطس ناجحًا بشكل خاص مع أكثر من $1B في حجم التداول. كانت البورصة متخصصة في استراتيجيات السيولة المعاد تخصيصها مع تجنب التصفية خلال تراجعات السوق، مع اتصالات ببروتوكول Euler لتوليد الدخل السلبي.

كان المشروع يستفيد من نجاح Uniswap V4، الذي جذب أكثر من $393M إلى خزائنه على Ethereum و $298M على Unichain.

تم الكشف عن ثغرة تقنية

كشف تحليل ما بعد الهجوم أن الاستغلال استهدف عقد إعادة حساب السيولة المخصص لـ BunniXYZ. بينما استخدمت تقنية Uniswap V4 كحلقة ربط للسيولة، قامت BunniXYZ بتنفيذ وظيفة توزيع السيولة الخاصة بها بدلاً من استخدام الحسابات الأصلية لـ Uniswap.

اكتشف المهاجم أن أحجام التداول المحددة يمكن أن تكسر هذه الوظيفة، مما يتسبب في إصدار العقد الذكي لمزيد من الرموز أكثر مما كان موجودًا بالفعل في مجموعة السيولة. كانت هناك حاجة إلى معاملات متعددة لتجميع المبلغ الكامل البالغ 2.3 مليون دولار قبل التحويل إلى ETH. وفي النهاية، هبطت الأموال المسروقة في Aave، مع ظهور المحفظة بمبلغ 1.33 مليون دولار في AethUSDC و $1M في AethUSDT.

على الرغم من التدقيقات السابقة، من المحتمل أن يكون هذا الخطأ في LDF قد ظهر في إصدار لاحق. الجاني الأكثر احتمالاً؟ خطأ في الدقة تطلب تنفيذ عدة معاملات للاستغلال الكامل من خلال إعادة حسابات معيبة.