Bitget App
Cмартторгівля для кожного
Купити криптуРинкиТоргуватиФ'ючерсиEarnЦентрБільше
Біржа Ethereum BunniXYZ втратила $2,3 млн через експлойт смарт-контракту

Біржа Ethereum BunniXYZ втратила $2,3 млн через експлойт смарт-контракту

CryptopolitanCryptopolitan2025/09/02 10:54
Переглянути оригінал
-:By Hristina Vasileva

BunniXYZ була зламана через смарт-контракт для ребалансування ліквідності, що призвело до переміщення $2.3M. Зловмисник здійснив декілька транзакцій, використовуючи помилку в смарт-контракті, яка здійснювала неправильний розрахунок і нараховувала більше токенів. Серпень став одним із найуспішніших місяців для BunniXYZ, коли пікова TVL перевищила $60M.

На біржі BunniXYZ Ethereum відбулася серія несанкціонованих виведень коштів. Дослідники блокчейну ідентифікували цю подію як злам, із втратами близько $2.3M. 

BunniXYZ, децентралізована біржа на Ethereum, була скомпрометована через один зі своїх смарт-контрактів. Хакер переважно перемістив стейблкоїни, загальна сума втрат склала $2.3M. 

Виходячи з історії транзакцій , хакер атакував сховища USDT та USDC, після чого перемістив токени через екосистему Ethereum, у підсумку отримавши мікс ETH та стейблкоїнів. У перші хвилини проєкт BunniXYZ визнав атаку на свій застосунок, закривши всі смарт-контракти. 

Незабаром після зламу зловмисник продовжив обмінювати кошти на ETH через інші DeFi-протоколи. 

Протягом години після атаки хакер ще не перемістив і не змішав кошти, окрім початкових транзакцій через DeFi-протоколи. Атака на BunniXYZ є частиною останньої серії відносно невеликих зламів, із сумою викрадених коштів менше $10M. 

Навіть відносно невеликі атаки часто коштують протоколам репутації та руйнують нові DeFi-хаби. Одним із нещодавніх зломів смарт-контракту була атака на BetterBank, як повідомляв Cryptopolitan reported . Такі атаки викликають підозри щодо інсайдерських дій або шкідливого коду, впровадженого в Web3 хакерами з DPRK. 

Дивіться також: Japan Post Bank планує запустити цифрову єну на блокчейні до 2026 року

BunniXYZ атаковано на піку

BunniXYZ — це DEX, що використовує як Ethereum, так і Unichain. Новий ринок також застосовує технологію Uniswap V4 для створення спеціальних сховищ і ринків із більш складними торговими правилами. 

Як і на інших ринках, BunniXYZ було атаковано невдовзі після досягнення локального піку заблокованої вартості. Наприкінці серпня біржа мала до $60M у своїх сховищах. Ринок залишався відносно невеликим після запуску в лютому, знаходячи своє місце серед нових DeFi-протоколів. 

Серпень також став одним із найуспішніших місяців для DEX, із обсягами понад $1B. Біржа спеціально нарощувала ліквідність для rehypothecation , уникаючи ліквідацій під час спаду ринку. Ліквідність DEX також була пов’язана з Euler Protocol для пасивного доходу.

BunniXYZ скористався зростанням обсягів Uniswap V4, оскільки протокол залучив понад $393M у свої сховища на Ethereum і $298M на Unichain.

Хакер скористався вразливістю в розрахунку ліквідності BunniXYZ

Післяаналіз зламу показав, що BunniXYZ був вразливий через специфічний контракт для перерахунку ліквідності. DEX є ліквідністю-хуком, що використовує технологію Uniswap V4. Однак замість використання розрахунку ліквідності Uniswap, BunniXYZ перераховує функцію розподілу ліквідності. 

Зловмисник виявив , що функція розподілу ліквідності може бути порушена при торгівлі певними обсягами. Це означало, що смарт-контракт виплачував більше токенів із пулу ліквідності, ніж було насправді, у результаті чого біржа була спустошена. Атакуючий мав повторити кілька транзакцій, щоб у підсумку отримати $2.3M, після чого обміняв їх на ETH. Потім він вніс ETH у Aave, утримуючи $1.33M у AethUSDC та $1M у AethUSDT згідно з фінальним балансом гаманця

Дивіться також: Trump закликає суддю заблокувати спробу Lisa Cook залишитися у Fed

BunniXYZ проходив попередні аудити, але баг LDF міг з’явитися у пізнішій версії біржі. Найімовірнішою причиною є баг точності, який змусив хакера виконати кілька транзакцій для накопичення більшого балансу на основі помилкового перерахунку.

Якщо ви це читаєте, ви вже попереду. Залишайтеся там із нашою розсилкою.

0

Відмова від відповідальності: зміст цієї статті відображає виключно думку автора і не представляє платформу в будь-якій якості. Ця стаття не повинна бути орієнтиром під час прийняття інвестиційних рішень.

PoolX: Заробляйте за стейкінг
До понад 10% APR. Що більше монет у стейкінгу, то більший ваш заробіток.
Надіслати токени у стейкінг!

Вас також може зацікавити

FC Barcelona дистанціюється від криптоспонсора на тлі негативної реакції

Barcelona викликала суперечки, уклавши партнерство з Zero-Knowledge Proof, блокчейн-стартапом, зареєстрованим у Самоа, який запустив власну криптовалюту через кілька днів після угоди.

Coinspeaker2025/11/29 00:59