Ethereum-Börse BunniXYZ für 2,3 Millionen US-Dollar durch Smart-Contract-Exploit geleert
- BunniXYZ wurde über seinen Smart-Contract für die Liquiditätsneuabstimmung angegriffen, wodurch 2,3 Mio. USD abgezogen wurden.
- Der Angreifer führte mehrere Transaktionen durch, um den Fehler im Smart-Contract auszunutzen, der fehlerhafte Berechnungen vornahm und mehr Token vergab.
- BunniXYZ verzeichnete im August einen seiner erfolgreichsten Monate und erreichte ein maximales TVL von über 60 Mio. USD.
Die BunniXYZ Ethereum-Börse sah eine Reihe von unbefugten Ausflüssen. On-Chain-Ermittler identifizierten das Ereignis als Hack, mit Verlusten von rund 2,3 Millionen US-Dollar.
BunniXYZ, eine dezentrale Ethereum-Börse, wurde über einen ihrer Smart Contracts ausgebeutet. Der Hacker bewegte hauptsächlich Stablecoins, was zu einem Gesamtverlust von 2,3 Millionen US-Dollar führte.
Wir haben einen Exploit in Höhe von 2,3 Millionen US-Dollar im @bunni_xyz BunniHub-Vertrag identifiziert.https://t.co/lZB0vzSMQx
Der Ausbeuter hat Gelder nach 0xe04efd87f410e260cf940a3bcb8bc61f33464f2b abgezogen.
Bleiben Sie wachsam!
— CertiK Alert (@CertiKAlert) September 2, 2025
Basierend auf dem Transaktionsverlauf, griff der Hacker die USDT- und USDC-Tresore an und bewegte die Token dann durch das Ethereum-Ökosystem, wobei er am Ende eine Mischung aus ETH und Stablecoins hatte. Innerhalb der ersten Minuten BunniXYZ erkannte das Projekt den Angriff auf seine App und schloss alle Smart Contracts.
Kurz nach dem Hack setzte der Ausbeuter fort, tauschte Gelder über andere DeFi-Protokolle in ETH umzuwandeln.
In der Stunde nach dem Angriff hatte der Hacker die Gelder noch nicht bewegt oder gemischt, außer für die anfänglichen Bewegungen durch DeFi-Protokolle. Der Angriff auf BunniXYZ ist Teil der neuesten Serie relativ kleiner Hacks, bei denen weniger als 10 Millionen US-Dollar gestohlen wurden.
Selbst die relativ kleinen Angriffe kosten oft den Ruf der Protokolle und zerstören neue DeFi-Hubs. Einer der jüngsten Smart-Contract-Exploits richtete sich gegen BetterBank, wie Cryptopolitan berichtete. Solche Angriffe wecken den Verdacht auf Insider-Jobs oder böswilligen Code, der von DPRK-Hackern in Web3 eingespeist wurde.
BunniXYZ zum Höhepunkt angegriffen
BunniXYZ ist eine DEX, die sowohl Ethereum als auch Unichain nutzt. Der neue Markt nutzt auch die Uniswap-V4-Technologie, um spezielle Tresore und Märkte mit komplexeren Handelsregeln zu erstellen.
Wie bei anderen Märkten wurde BunniXYZ kurz nach Erreichen eines lokalen Höchststands des gebundenen Werts angegriffen. Ende August führte die Börse bis zu 60 Millionen US-Dollar in ihren Tresoren. Der Markt war noch relativ klein, nachdem er im Februar gestartet war und seinen Platz unter den neuen DeFi-Protokollen gefunden hatte.
August war auch einer der erfolgreichsten Monate für die DEX, mit einem Volumen von über 1 Milliarde US-Dollar. Die Börse baute speziell Liquidität für Rehypothekationauf, während sie Liquidationen während Markttiefs vermied. Die DEX-Liquidität war auch mit dem Euler-Protokoll für passives Einkommen verknüpft.
BunniXYZ profitierte von den erweiterten Volumina von Uniswap V4, da das Protokoll über $393M in seine Tresore auf Ethereum und $298M auf Unichain zog.
Hacker exploitierte BunniXYZ-Liquiditätsberechnung
Die Analyse nach dem Hack zeigte, dass BunniXYZ aufgrund seines spezifischen Liquiditätsneu berechnungs-Verwundbar war. Die DEX ist ein Liquiditäts-Hook, der die Uniswap-V4-Technologie nutzt. Statt jedoch die Liquiditätsberechnung von Uniswap zu verwenden, berechnet BunniXYZ die Liquiditätsverteilungsfunktion neu.
Der Ausbeuter zeigte die Liquiditätsverteilungsfunktion könnte von Trades bestimmter Größen abweichen. Dies bedeutete, dass der Smart Contract mehr Token aus dem Liquiditätspool auszahlen würde, als in Wirklichkeit vorhanden waren, was dazu führte, dass die Börse geleert wurde. Der Angreifer musste mehrere Transaktionen wiederholen, um schließlich 2,3 Millionen US-Dollar anzusammeln, und tauschte sie dann in ETH um. Anschließend hinterlegte er das ETH in Aave und hielt 1,33 Millionen US-Dollar in AethUSDC und 1 Million US-Dollar in AethUSDT basierend auf dem Wallet Endsaldo.
BunniXYZ hat vorherige Audits durchlaufen, aber der LDF-Bug könnte mit einer späteren Version der Börse aufgetreten sein. Die wahrscheinlichste Ursache ist ein Präzisionsbug, der den Hacker dazu zwang, mehrere Transaktionen durchzuführen, um basierend auf der fehlerhaften Neuberechnung einen größeren Saldo anzusammeln.
Lesen Sie nicht nur Krypto-Nachrichten. Verstehen Sie sie. Abonnieren Sie unseren Newsletter. Es ist kostenlos.
Haftungsausschluss. Die bereitgestellten Informationen stellen keine Anlageberatung dar. Cryptopolitan.com Wir übernehmen keine Haftung für Investitionen, die auf den auf dieser Seite bereitgestellten Informationen basieren. Wir empfehlen dringend, vor jeglichen Anlageentscheidungen eine unabhängige Recherche durchzuführen und/oder einen qualifizierten Fachmann zu konsultieren.
Hristina Vasileva
Hristina Vasileva spezialisiert sich auf Nachrichten zu DeFi, Wirtschaft und Ökonomie. Sie schloss ihr Studium an der Universität Sofia mit einem Master in Philosophie ab, nachdem sie einen vierjährigen Bachelor in Betriebswirtschaftslehre, Journalismus und Massenkommunikation absolviert hatte. Sie arbeitete für eine der führenden Zeitungen des Landes und berichtete über Rohstoffe und Unternehmensergebnisse. Derzeit ist Hristina freie Autorin bei Cryptopolitan.
