تم استخراج 2.3 مليون دولار من منصة Ethereum للتبادل BunniXYZ في استغلال عقد ذكي
- تم استغلال BunniXYZ عبر عقد ذكي لإعادة توازن السيولة، مما أدى إلى نقل 2.3 مليون دولار.
- نفذ المهاجم عدة معاملات لاستغلال ثغرة في العقد الذكي، والتي أجرت حسابات معيبة ومنحت رموزاً أكثر من اللازم.
- شهد شهر أغسطس أحد أشهر BunniXYZ نجاحاً، حيث بلغ إجمالي القيمة المقفلة (TVL) ذروته بأكثر من 60 مليون دولار.
شهدت منصة BunniXYZ لتبادل العملات على شبكة إيثريوم سلسلة من السحوبات غير المصرح بها. وحدد المحققون في سلسلة الكتل هذا الحدث على أنه اختراق، مع خسائر تقدر بنحو 2.3 مليون دولار.
تم استغلال منصة BunniXYZ، وهي منصة لامركزية لتبادل العملات على شبكة إيثريوم، من خلال أحد عقودها الذكية. قام المخترق بنقل معظم العملات المستقرة، مما أدى إلى خسائر إجمالية تبلغ 2.3 مليون دولار.
لقد حددنا استغلالًا بقيمة 2.3 مليون دولار في عقد @bunni_xyz BunniHub.https://t.co/lZB0vzSMQx
قام المستغل بنقل الأموال إلى العنوان 0xe04efd87f410e260cf940a3bcb8bc61f33464f2b.
ابقوا يقظين!
— CertiK Alert (@CertiKAlert) سبتمبر 2، 2025
بناءً على سجل المعاملات، هاجم المخترق خزائن USDT و USDC، ثم نقل الرموز عبر نظام إيثريوم البيئي، لينتهي به الأمر بمزيج من ETH والعملات المستقرة. خلال الدقائق الأولى، كان BunniXYZ المشروع قد أدرك الهجوم على تطبيقه، وأغلق جميع العقود الذكية.
بعد فترة وجيزة من الاختراق، استمر المستغل في عملية التبادل تحويل الأموال إلى ETH من خلال بروتوكولات DeFi أخرى.
في الساعة التي تلت الهجوم، لم يقم المخترق بنقل أو خلط الأموال بعد، باستثناء الحركات الأولية عبر بروتوكولات DeFi. يُعد الهجوم على BunniXYZ جزءًا من أحدث سلسلة من الهجمات النسبية صغيرة الحجم، والتي سرقت أقل من 10 ملايين دولار.
حتى الهجمات الصغيرة نسبيًا غالبًا ما تكلف سمعة البروتوكولات وتدمر مراكز DeFi الجديدة. كان أحد أحدث استغلال العقود الذكية ضد BetterBank، كما ذكر Cryptopolitan في يونيو أن DFS اقترحت لوائح جديدة للعملات المستقرة تهدف إلى مواءمتها مع قانون GENIUS ACT مع الحفاظ على ضوابطها الحالية. ويشمل ذلك التغطية الكاملة بالاحتياطيات والتدقيق المستقل.. تثير مثل هذه الهجمات شكوكًا حول وجود عمليات داخلية خبيثة أو حقن كود ضار في Web3 بواسطة مخترقين من كوريا الشمالية.
تم استهداف BunniXYZ في ذروة
BunniXYZ هي منصة تبادل لامركزية (DEX) تستخدم كل من Ethereum و Unichain. يستخدم السوق الجديد أيضًا تقنية Uniswap V4 لإنشاء خزائن وسوق خاصة بقواعد تداول أكثر تعقيدًا.
كما هو الحال مع الأسواق الأخرى، تم استهداف BunniXYZ قريبًا بعد بلوغه ذروة محلية في القيمة المقفلة. في نهاية أغسطس، كانت المنصة تحتوي على ما يصل إلى 60 مليون دولار في خزائنها. كان السوق لا يزال صغيرًا نسبيًا، بعد إطلاقه في فبراير وإيجاد مكانه بين بروتوكولات DeFi الجديدة.
كان أغسطس أيضًا أحد أكثر الأشهر نجاحًا للمنصة اللامركزية، بحجم تداول يتجاوز 1 مليار دولار. كانت المنصة تبني بشكل خاص السيولة من أجل إعادة الرهن، مع تجنب عمليات السحب القسري خلال فترات انخفاض السوق. كانت سيولة المنصة أيضًا مرتبطة ببروتوكول Euler للدخل السلبي.
استفادت BunniXYZ من التوسعات في أحجام التداول لـ Uniswap V4، حيث جذب البروتوكول أكثر من 393 مليون دولار إلى خزائنه على إيثريوم و $298M على Unichain.
المخترق استغل حساب سيولة BunniXYZ
أظهرت التحليلات ما بعد الاختراق أن BunniXYZ كانت عرضة للخطر بسبب عقد إعادة حساب السيولة المحدد الخاص بها. المنصة هي خطاف سيولة (liquidity hook) يستخدم تقنية Uniswap V4. ومع ذلك، بدلاً من استخدام حساب سيولة Uniswap، تقوم BunniXYZ بإعادة حساب دالة توزيع السيولة (Liquidity Distribution Function).
المستغل Aave V⟦N1⟧ أن دالة توزيع السيولة يمكن أن تنفصل عن الصفقات ذات الأحجام المحددة. وهذا يعني أن العقد الذكي سيدفع رموزًا أكثر من حوض السيولة مما هو مملوك في الواقع، مما يؤدي إلى تفريغ المنصة. اضطر المهاجم إلى تكرار معاملات متعددة لتجميع مبلغ 2.3 مليون دولار أخيرًا، ثم تحويلها إلى ETH. ثم قام بإيداع ETH في Aave، محتفظًا بـ 1.33 مليون دولار في AethUSDC و 1 مليون دولار في AethUSDT بناءً على محفظة الرصيد النهائي.
خضعت BunniXYZ لعمليات تدقيق سابقة، لكن عيب LDF قد يكون ظهر مع إصدار أحدث من المنصة. السبب الأرجح هو عيب في الدقة، مما تطلب من المخترق إجراء معاملات متعددة لتجميع رصيد أكبر بناءً على إعادة الحساب المعيبة.
لا تكتفِ بقراءة أخبار العملات الرقمية فحسب، بل افهمها. اشترك في نشرتنا الإخبارية. مجانية.
إخلاء مسؤولية. المعلومات المقدمة ليست نصيحة تداول. Cryptopolitan.com لا تتحمل أي مسؤولية عن أي استثمارات تتم بناءً على المعلومات المقدمة في هذه الصفحة. نوصي بشدة بإجراء بحث مستقل و/أو الاستعانة بمستشار مؤهل قبل اتخاذ أي قرارات استثمارية.
هريستينا فاسيليفا
تختص هريستينا فاسيليفة بالأخبار المتعلقة بالتمويل اللامركزي (DeFi)، والأعمال، والاقتصاد. حصلت على ماجستير في الفلسفة من جامعة صوفيا، بعد إتمامها درجة البكالوريوس لمدة 4 سنوات في إدارة الأعمال، والصحافة، والاتصال الجماهيري. عملت لأحد الصحف الرائدة في البلاد، حيث غطت أخبار السلع والنتائج للشركات. حاليًا، تعمل هريستينا ككاتبة أخبار مساهمة في موقع Cryptopolitan.
