BunniXYZ біржа Ethereum зазнала витоку на $2.3M

Джерело: Cryptopolitan

2 вересня 2025 08:12

Я спостерігав в реальному часі, як BunniXYZ був вичерпаний вчора. Ще один день, ще одна експлуатація DeFi – цього разу з несанкціонованими витоками, які склали близько $2.3M з біржі Ethereum.

Хакерська атака націлилася на один із смарт-контрактів BunniXYZ, причому зловмисник переважно намагався отримати резерви стабільних монет. CertiK швидко почала бити на сполох:

🚨 > #CertiKInsight

Ми виявили експлуатацію на $2.3M в контракті BunniHub @bunni_xyz.

Експлуататор вивів кошти на 0xe04efd87f410e260cf940a3bcb8bc61f33464f2b.

Будьте пильними!

— Сповіщення CertiK (@CertiKAlert) 2 вересня 2025 р.

Досліджуючи слід транзакцій, хакер вдарив по сховищах USDT і USDC, перш ніж перемішати токени через екосистему Ethereum, врешті-решт зібравши комбінацію ETH і стейблкоїнів. BunniXYZ швидко визнали атаку та закрили всі смарт-контракти, але не раніше, ніж було завдано значної шкоди.

Викрадач продовжував обмінювати кошти на ETH через різні DeFi протоколи після цього. Цікаво, що вони не відразу змішували або затемнювали кошти після цих початкових рухів. Цей хак приєднується до зростаючої тенденції “менших” атак під $10M , які все ще руйнують протоколи та знищують довіру користувачів.

Ці експлойти, як нещодавня атака BetterBank, піднімають питання про можливу участь внутрішніх осіб або північнокорейських хакерів, які вводять шкідливий код у проекти Web3.

Досягнув пікової популярності

BunniXYZ працює на Ethereum та Unichain, використовуючи технологію Uniswap V4 для спеціалізованих сейфів з комплексними торговими правилами. Тайминг атаки здається виваженим - вона сталася саме тоді, коли біржа досягла локального піку $60M у заблокованій вартості.

Незважаючи на те, що BunniXYZ був відносно новим (запущений у лютому), він знайшов свою нішу серед нових протоколів DeFi. Серпень був особливо успішним з обсягом торгівлі понад $1B . Біржа спеціалізувалася на стратегіях рефінансування ліквідності, уникаючи ліквідацій під час ринкових спадів, з зв'язками з Euler Protocol для генерації пасивного доходу.

Проект користувався успіхом Uniswap V4, який привабив понад $393M до своїх ефірних сховищ і $298M на Unichain.

Технічна вразливість виявлена

Аналіз після атаки показав, що експлойт націлився на власний контракт перерахунку ліквідності BunniXYZ. Використовуючи технологію Uniswap V4 як ліквідний хук, BunniXYZ реалізував свою власну функцію розподілу ліквідності, а не використовував рідні розрахунки Uniswap.

Зловмисник виявив, що конкретні обсяги торгівлі можуть зламати цю функцію, викликаючи надмірне випускання токенів смарт-контрактом у порівнянні з фактичною кількістю, що існувала в ліквідному пулі. Для накопичення повних 2,3 млн доларів США було потрібно кілька транзакцій перед конвертацією в ETH. Вкрадені кошти врешті-решт потрапили в Aave, а гаманець показував 1,33 млн доларів США в AethUSDC та $1M в AethUSDT.

Незважаючи на попередні аудити, цей баг LDF, ймовірно, з'явився в пізнішій версії. Найбільш ймовірний винуватець? Помилка точності, яка вимагала кількох транзакцій для повного використання через помилкові перерахунки.