L'échange Ethereum BunniXYZ vidé de 2,3 M$ dans une exploitation de contrat intelligent
- BunniXYZ a été exploité via son contrat intelligent de rééquilibrage de liquidité, détournant 2,3 M$.
- L'attaquant a exécuté plusieurs transactions pour exploiter un bug du contrat intelligent qui effectuait des calculs défectueux et attribuait plus de tokens.
- BunniXYZ a connu l'un de ses mois les plus réussis en août, atteignant un TVL maximal de plus de 60 M$.
L'échange Ethereum BunniXYZ a connu une série de sorties non autorisées. Les enquêteurs on-chain ont identifié l'événement comme un piratage, avec des pertes d'environ 2,3 M$.
BunniXYZ, une décentralisée Ethereum, a été exploitée via l'un de ses contrats intelligents. Le pirate a déplacé principalement des stablecoins, pour une perte totale de 2,3 M$.
Nous avons identifié une exploitation de 2,3 M$ sur le contrat @bunni_xyz BunniHub.https://t.co/lZB0vzSMQx
L'exploiteur a exfiltré des fonds vers 0xe04efd87f410e260cf940a3bcb8bc61f33464f2b.
Restez Vigilant !
— CertiK Alert (@CertiKAlert) Septembre 2, 2025
Selon le historique des transactions, le pirate a attaqué les coffres-forts USDT et USDC, puis a déplacé les jetons à travers l'écosystème Ethereum, se retrouvant avec un mélange d'ETH et de stablecoins. Dans les premières minutes, le BunniXYZ projet a reconnu l'attaque contre son application, fermant tous les contrats intelligents.
Peu après le piratage, l'exploiteur a continué à swap convertir les fonds en ETH via d'autres protocoles DeFi.
Dans l'heure suivant l'attaque, le pirate n'avait pas encore déplacé ou mélangé les fonds, à l'exception des mouvements initiaux à travers les protocoles DeFi. L'attaque contre BunniXYZ fait partie de la dernière série de piratages relativement mineurs, volant moins de 10 M$.
Même les attaques relativement petites coûtent souvent la réputation des protocoles et détruisent les nouveaux hubs DeFi. L'une des exploitations de contrats intelligents les plus récentes visait BetterBank, comme Cryptopolitan a rapporté. De telles attaques soulèvent des soupçons de travaux internes ou de code malveillant injecté dans le Web3 par des pirates de la RPDC.
BunniXYZ attaqué au sommet
BunniXYZ est un DEX utilisant à la fois blockchain et Unichain. Le nouveau marché utilise également la technologie Uniswap V4 pour créer des coffres-forts et des marchés spéciaux avec des règles de trading plus complexes.
Comme pour d'autres marchés, BunniXYZ a été attaqué peu après avoir atteint un pic local de valeur verrouillée. À la fin août, l'échange détenait jusqu'à 60 M$ dans ses coffres-forts. Le marché était encore relativement petit, après son lancement en février et sa place parmi les nouveaux protocoles DeFi.
Août a également été l'un des mois les plus réussis pour le DEX, avec plus de 1 M$ de volumes. L'échange construisait spécifiquement de la liquidité pour la réhypothèque, tout en évitant les liquidations pendant les baisses de marché. La liquidité du DEX était également liée au protocole Euler pour un revenu passif.
BunniXYZ a profité des volumes élargis d'Uniswap V4, car le protocole a attiré plus de 393 M$ vers ses coffres-forts sur Ethereum et $298M sur Unichain.
Le pirate a exploité le calcul de liquidité de BunniXYZ
L'analyse post-piratage a montré que BunniXYZ était vulnérable en raison de son contrat spécifique de recalcul de liquidité. Le DEX est un crochet de liquidité, utilisant la technologie Uniswap V4. Cependant, au lieu d'utiliser le calcul de liquidité d'Uniswap, BunniXYZ recalcule la Fonction de Distribution de Liquidité.
L'exploiteur a découvert la Fonction de Distribution de Liquidité pourrait se briser à cause de trades de tailles spécifiques. Cela signifiait que le contrat intelligent paierait plus de jetons du pool de liquidité que ce qui était réellement possédé, vidant ainsi l'échange. L'attaquant a dû répéter plusieurs transactions pour finalement accumuler 2,3 M$, puis les échanger contre de l'ETH. Il a ensuite déposé l'ETH dans Aave, détenant 1,33 M$ en AethUSDC et 1 M$ en AethUSDT sur la base de du portefeuille solde final.
BunniXYZ a subi des audits précédents, mais le bug LDF est peut-être apparu avec une version ultérieure de l'échange. La cause la plus probable est un bug de précision, qui a obligé le pirate à effectuer plusieurs transactions pour accumuler un solde plus important basé sur un recalcul défectueux.
Les esprits les plus brillants du secteur crypto lisent déjà notre newsletter. Vous aussi ? Rejoignez-les.
Avertissement. Les informations fournies ne constituent pas des conseils en matière d'investissement. Cryptopolitan.com ne saurait être tenue responsable des investissements réalisés sur la base des informations fournies sur cette page. Nous recommandons vivement de mener vos propres recherches et/ou de consulter un professionnel qualifié avant de prendre toute décision d'investissement.
Hristina Vasileva
Hristina Vasileva se spécialise dans les actualités liées à la DeFi, aux entreprises et à l'économie. Elle est diplômée de l'Université de Sofia avec un master en philosophie, après avoir obtenu une licence de quatre ans en administration des affaires, journalisme et communication de masse. Elle a travaillé pour l'un des principaux journaux du pays, couvrant les matières premières et les résultats d'entreprises. Actuellement, Hristina est auteure contributrice chez Cryptopolitan.
