El exchange de Ethereum BunniXYZ fue drenado por 2,3 millones de dólares en una vulnerabilidad de contrato inteligente
- BunniXYZ fue explotado a través de su contrato inteligente de rebalanceo de liquidez, moviendo $2.3M.
- El atacante realizó múltiples transacciones para aprovechar el error del contrato inteligente, que ejecutó cálculos defectuosos y otorgó más tokens.
- BunniXYZ tuvo uno de sus meses más exitosos en agosto, alcanzando un TVL máximo superior a $60M.
El exchange de Ethereum BunniXYZ vio una serie de salidas no autorizadas. Los investigadores on-chain identificaron el evento como un hackeo, con pérdidas de alrededor de 2,3 millones de dólares.
BunniXYZ, un exchange descentralizado de Ethereum, ha sido explotado a través de uno de sus contratos inteligentes. El hacker movió principalmente stablecoins, por una pérdida total de 2,3 millones de dólares.
Hemos identificado una vulnerabilidad de 2,3 millones de dólares en el contrato @bunni_xyz BunniHub.https://t.co/lZB0vzSMQx
El explotador ha exfiltrado fondos a 0xe04efd87f410e260cf940a3bcb8bc61f33464f2b.
¡Mantente Vigilante!
— Alerta de CertiK (@CertiKAlert) septiembre 2, 2025
Según el historial de transacciones, el hacker atacó las bóvedas de USDT y USDC, luego movió los tokens a través del ecosistema de Ethereum, terminando con una mezcla de ETH y stablecoins. En los primeros minutos, el BunniXYZ proyecto reconoció el ataque contra su aplicación, cerrando todos los contratos inteligentes.
Poco después del hackeo, el explotador continuó intercambio convirtiendo fondos en ETH a través de otros protocolos DeFi.
En la hora posterior al ataque, el hacker aún no había movido ni mezclado los fondos, excepto por los movimientos iniciales a través de protocolos DeFi. El ataque contra BunniXYZ es parte de la última serie de hackeos relativamente menores, robando menos de 10 millones de dólares.
Incluso los ataques relativamente pequeños a menudo cuestan la reputación de los protocolos y destruyen nuevos hubs DeFi. Una de las vulnerabilidades de contratos inteligentes más recientes fue contra BetterBank, como Cryptopolitan informó. Estos ataques generan sospechas de trabajos internos o código malicioso inyectado en Web3 por hackers de Corea del Norte.
BunniXYZ atacado en el pico
BunniXYZ es un DEX que utiliza tanto Ethereum como Unichain. El nuevo mercado también utiliza la tecnología Uniswap V4 para crear bóvedas y mercados especiales con reglas de trading más complejas.
Al igual que con otros mercados, BunniXYZ fue atacado poco después de alcanzar un pico local de valor bloqueado. A finales de agosto, el exchange tenía hasta 60 millones de dólares en sus bóvedas. El mercado seguía siendo relativamente pequeño, después de lanzarse en febrero y encontrar su lugar entre los nuevos protocolos DeFi.
Agosto también fue uno de los meses más exitosos para el DEX, con más de 1.000 millones de dólares en volúmenes. El exchange estaba construyendo específicamente liquidez para rehypotecación, evitando liquidaciones durante las caídas del mercado. La liquidez del DEX también estaba vinculada al Protocolo Euler para ingresos pasivos.
BunniXYZ se benefició de los volúmenes expandidos de Uniswap V4, ya que el protocolo atrajo a más de $393M a sus bóvedas en Ethereum y $298M en Unichain.
El hacker explotó el cálculo de liquidez de BunniXYZ
El análisis posterior al hackeo mostró que BunniXYZ era vulnerable debido a su contrato específico de recálculo de liquidez. El DEX es un gancho de liquidez que utiliza la tecnología Uniswap V4. Sin embargo, en lugar de utilizar el cálculo de liquidez de Uniswap, BunniXYZ recalcula la Función de Distribución de Liquidez.
El explotador descubrió la Función de Distribución de Liquidez podría romperse por operaciones de tamaños específicos. Esto significaba que el contrato inteligente pagaría más tokens del pool de liquidez de los que realmente se poseían, terminando por drenar el exchange. El atacante tuvo que repetir múltiples transacciones para acumular finalmente 2,3 millones de dólares, luego intercambiarlos por ETH. Luego terminó depositando el ETH en Aave, manteniendo 1,33 millones de dólares en AethUSDC y 1 millón de dólares en AethUSDT según el saldo final de la cartera.
BunniXYZ ha sufrido auditorías anteriores, pero el error LDF puede haber llegado con una versión posterior del exchange. La causa más probable es un error de precisión, que requirió que el hacker realizara múltiples transacciones para acumular un saldo mayor basado en el recálculo defectuoso.
Si estás leyendo esto, ya vas por delante. Mantente así con nuestro boletín.
Aviso de responsabilidad. La información proporcionada no es un consejo de trading. Cryptopolitan.com no asumimos responsabilidad alguna por las inversiones realizadas basándose en la información proporcionada en esta página. Recomendamos encarecidamente la investigación independiente y/o la consulta con un profesional calificado antes de tomar cualquier decisión de inversión.
Hristina Vasileva
Hristina Vasileva se especializa en noticias sobre DeFi, negocios y economía. Se graduó de la Universidad de Sofía con una maestría en Filosofía, después de completar una licenciatura de 4 años en Administración de Empresas, Periodismo y Comunicación Masiva. Ha trabajado para uno de los principales periódicos del país, cubriendo materias primas y resultados corporativos. Actualmente, Hristina es autora de noticias colaboradora en Cryptopolitan.
