Lo scambio Ethereum BunniXYZ svuotato per 2,3 milioni di dollari in un exploit del contratto intelligente
- BunniXYZ è stato sfruttato tramite il suo contratto intelligente di ribilanciamento della liquidità, con un trasferimento di 2,3 milioni di dollari.
- L'attaccante ha eseguito più transazioni per sfruttare un bug nel contratto intelligente, che ha effettuato calcoli errati assegnando un numero maggiore di token.
- BunniXYZ ha vissuto uno dei suoi mesi più di successo ad agosto, raggiungendo un TVL massimo superiore a 60 milioni di dollari.
Lo scambio Ethereum BunniXYZ ha visto una serie di flussi in uscita non autorizzati. Gli investigatori on-chain hanno identificato l'evento come un hack, con perdite di circa 2,3 milioni di dollari.
BunniXYZ, uno scambio decentralizzato Ethereum, è stato sfruttato attraverso uno dei suoi contratti intelligenti. L'hacker ha spostato principalmente stablecoin, per una perdita totale di 2,3 milioni di dollari.
Abbiamo identificato un exploit da 2,3 milioni di dollari sul contratto @bunni_xyz BunniHub.https://t.co/lZB0vzSMQx
L'exploiter ha sottratto fondi a 0xe04efd87f410e260cf940a3bcb8bc61f33464f2b.
Rimani vigile!
— CertiK Alert (@CertiKAlert) Settembre 2, 2025
Sulla base del cronologia delle transazioni, l'hacker ha attaccato i vault di USDT e USDC, quindi ha spostato i token attraverso l'ecosistema Ethereum, finendo con un mix di ETH e stablecoin. Nei primi minuti, il BunniXYZ progetto ha riconosciuto l'attacco alla sua app, chiudendo tutti i contratti intelligenti.
Poco dopo l'hack, l'exploiter ha continuato a swap convertire i fondi in ETH attraverso altri protocolli DeFi.
Nell'ora successiva all'attacco, l'hacker non ha ancora spostato o mescolato i fondi, tranne per i movimenti iniziali attraverso i protocolli DeFi. L'attacco a BunniXYZ fa parte dell'ultima serie di hack relativamente minori, che hanno sottratto meno di 10 milioni di dollari.
Anche gli attacchi relativamente piccoli spesso costano la reputazione dei protocolli e distruggono i nuovi hub DeFi. Uno degli exploit di contratti intelligenti più recenti è stato contro BetterBank, come Cryptopolitan ha riportato. Tali attacchi suscitano sospetti di lavori interni o di codice malevolo iniettato in Web3 dagli hacker della RPC.
BunniXYZ attaccato al picco
BunniXYZ è un DEX che utilizza sia blockchain che Unichain. Il nuovo mercato utilizza anche la tecnologia Uniswap V4 per creare vault e mercati speciali con regole di trading più complesse.
Come per altri mercati, BunniXYZ è stato attaccato poco dopo aver raggiunto un picco locale di valore bloccato. Alla fine di agosto, lo scambio aveva fino a 60 milioni di dollari nei suoi vault. Il mercato era ancora relativamente piccolo, dopo il lancio a febbraio e aver trovato il suo posto tra i nuovi protocolli DeFi.
Agosto è stato anche uno dei mesi più di successo per il DEX, con oltre 1 miliardo di dollari di volumi. Lo scambio stava specificamente costruendo liquidità per rehypothecation, evitando le liquidazioni durante i ribassi di mercato. La liquidità del DEX era anche collegata a Euler Protocol per il reddito passivo.
BunniXYZ ha beneficiato dei volumi ampliati di Uniswap V4, poiché il protocollo ha attirato oltre $393M nei suoi vault su Ethereum e $298M su Unichain.
L'hacker ha sfruttato il calcolo della liquidità di BunniXYZ
L'analisi post-hack ha mostrato che BunniXYZ era vulnerabile a causa del suo contratto specifico di ricalcolo della liquidità. Il DEX è un hook di liquidità, che utilizza la tecnologia Uniswap V4. Tuttavia, invece di utilizzare il calcolo della liquidità di Uniswap, BunniXYZ ricalcola la Funzione di Distribuzione della Liquidità.
L'exploiter scoperto la Funzione di Distribuzione della Liquidità potrebbe rompersi a causa di scambi di dimensioni specifiche. Ciò significava che il contratto intelligente avrebbe pagato più token dal pool di liquidità di quanto posseduto in realtà, finendo per svuotare lo scambio. L'attaccante ha dovuto ripetere più transazioni per accumulare finalmente 2,3 milioni di dollari, per poi scambiarli con ETH. Ha quindi finito per depositare l'ETH in Aave, detenendo 1,33 milioni di dollari in AethUSDC e 1 milione di dollari in AethUSDT in base al portafoglio saldo finale.
BunniXYZ ha subito precedenti audit, ma il bug LDF potrebbe essere arrivato con una versione successiva dello scambio. La causa più probabile è un bug di precisione, che ha richiesto all'hacker di eseguire più transazioni per accumulare un saldo maggiore in base al ricalcolo difettoso.
I cervelli più intelligenti del crypto leggono già la nostra newsletter. Vuoi unirti a loro? Unisciti a loro.
Dichiarazione di responsabilità. Le informazioni fornite non costituiscono consigli di trading. Cryptopolitan.com non si assume alcuna responsabilità per eventuali investimenti effettuati sulla base delle informazioni fornite in questa pagina. Si consiglia vivamente di effettuare ricerche indipendenti e/o consultare un professionista qualificato prima di prendere qualsiasi decisione di investimento.
Hristina Vasileva
Hristina Vasileva si specializza in notizie su DeFi, business ed economia. Si è laureata presso l'Università di Sofia con un Master in Filosofia, dopo aver completato una laurea triennale quadriennale in Amministrazione Aziendale, Giornalismo e Comunicazione di Massa. Ha lavorato per uno dei principali quotidiani del paese, coprendo il settore delle materie prime e i risultati aziendali. Attualmente, Hristina è autrice di notizie collaboratrice per Cryptopolitan.
