Sàn giao dịch Ethereum BunniXYZ gặp phải sự cố bảo mật trị giá 2,3 triệu đô la

SourceCryptopolitan

2 Tháng 9 năm 2025 08:12

Tôi đã xem trong thời gian thực khi BunniXYZ bị rút cạn vào ngày hôm qua. Một ngày nữa, một cuộc khai thác DeFi khác - lần này với các dòng tiền không được phép tổng cộng khoảng 2,3 triệu đô la từ sàn giao dịch Ethereum.

Cuộc tấn công nhắm vào một trong những hợp đồng thông minh của BunniXYZ, với kẻ tấn công chủ yếu nhằm vào các dự trữ stablecoin. CertiK đã nhanh chóng đưa ra cảnh báo:

#CertiKInsight 🚨

Chúng tôi đã xác định một lỗ hổng trị giá 2,3 triệu đô la trên hợp đồng BunniHub của @bunni_xyz.

Kẻ khai thác đã chuyển tiền ra ngoài đến 0xe04efd87f410e260cf940a3bcb8bc61f33464f2b.

Hãy cẩn trọng!

— CertiK Alert (@CertiKAlert) Ngày 2 tháng 9, 2025

Nhìn vào dấu vết giao dịch, kẻ tấn công đã tấn công các kho USDT và USDC trước khi trộn các token qua hệ sinh thái của Ethereum, cuối cùng tích lũy được một sự kết hợp của ETH và các stablecoin. BunniXYZ đã nhận ra cuộc tấn công nhanh chóng và đã đóng tất cả các hợp đồng thông minh, nhưng không trước khi gây ra thiệt hại đáng kể.

Kẻ khai thác đã tiếp tục hoán đổi quỹ sang ETH thông qua các giao thức DeFi khác nhau sau đó. Thú vị là, họ không ngay lập tức trộn lẫn hoặc làm mờ quỹ ngoài những động thái ban đầu này. Cuộc tấn công này gia nhập một xu hướng ngày càng tăng của các cuộc tấn công “nhỏ hơn” dưới $10M mà vẫn tàn phá các giao thức và phá hủy sự tự tin của người dùng.

Các cuộc tấn công này, như vụ tấn công BetterBank gần đây, đặt ra câu hỏi về khả năng có sự tham gia của nội bộ hoặc các hacker Bắc Triều Tiên tiêm mã độc vào các dự án Web3.

Đạt đỉnh cao của sự nổi tiếng

BunniXYZ hoạt động trên Ethereum và Unichain, tận dụng công nghệ Uniswap V4 cho các kho lưu trữ chuyên biệt với các quy tắc giao dịch phức tạp. Thời điểm của cuộc tấn công có vẻ được tính toán - xảy ra ngay khi sàn giao dịch đạt đỉnh địa phương với giá trị bị khóa là $60M .

Mặc dù tương đối mới (ra mắt vào tháng Hai ), BunniXYZ đã tìm thấy chỗ đứng của mình trong số các giao thức DeFi mới nổi. Tháng Tám đã đặc biệt thành công với hơn $1B trong khối lượng giao dịch. Sàn giao dịch chuyên về chiến lược thanh khoản rehypothecation trong khi tránh các đợt thanh lý trong thời gian thị trường giảm, với các kết nối đến Euler Protocol để tạo ra thu nhập thụ động.

Dự án đã tận dụng thành công của Uniswap V4, đã thu hút hơn $393M vào kho Ethereum của nó và $298M trên Unichain.

Lỗ hổng kỹ thuật được phơi bày

Phân tích sau cuộc tấn công đã tiết lộ rằng lỗ hổng nhắm vào hợp đồng tính toán thanh khoản tùy chỉnh của BunniXYZ. Trong khi sử dụng công nghệ Uniswap V4 làm điểm kết nối thanh khoản, BunniXYZ đã triển khai Chức năng Phân phối Thanh khoản riêng của mình thay vì sử dụng các phép tính gốc của Uniswap.

Kẻ tấn công phát hiện ra rằng kích thước giao dịch cụ thể có thể làm hỏng chức năng này, khiến hợp đồng thông minh phát hành nhiều token hơn số lượng thực tế có trong pool thanh khoản. Nhiều giao dịch đã được thực hiện để tích lũy đủ $2.3M trước khi chuyển đổi sang ETH. Các quỹ bị đánh cắp cuối cùng đã đến Aave, với ví hiển thị $1.33M trong AethUSDC và $1M trong AethUSDT.

Mặc dù đã có các cuộc kiểm toán trước đó, lỗi LDF này có khả năng xuất hiện trong một phiên bản sau. Thủ phạm có khả năng nhất? Một lỗi chính xác mà cần nhiều giao dịch để khai thác hoàn toàn thông qua các phép tính sai.