- BunniXYZは流動性再調整スマートコントラクトの脆弱性を突かれ、230万ドルが盗まれた。
- 攻撃者は複数のトランザクションを実行し、スマートコントラクトのバグを悪用した。これにより計算ミスが発生し、過剰なトークンが付与された。
- BunniXYZは8月に最も成功した月の一つを迎え、TVL（総預かり資産）は6,000万ドル超のピークに達した。
BunniXYZのイーサリアム取引所で一連の不正な出金が発生した。オンチェーン調査員はこの出来事をハッキングとし、損失は約230万ドルと特定した。
イーサリアム分散型取引所（DEX）であるBunniXYZは、そのスマートコントラクトの1つを通じて攻撃を受けた。ハッカーは主にステーブルコインを移動させ、合計230万ドルの損失をもたらした。
@bunni_xyz BunniHub契約において230万ドルの脆弱性を特定しました。https://t.co/lZB0vzSMQx
攻撃者は資金を0xe04efd87f410e260cf940a3bcb8bc61f33464f2bへ移転した。
警戒を怠るな！
— CertiK Alert (@CertiKAlert) 9月2日、2025
Timesからの 取引履歴によると、ハッカーはUSDTおよびUSDCの金庫を攻撃し、トークンをイーサリアムエコシステムを通じて移動させ、最終的にETHとステーブルコインの混合を手にした。最初の数分以内に、 BunniXYZ プロジェクトはアプリに対する攻撃を認識し、すべてのスマートコントラクトを閉鎖した。
ハッキング直後、攻撃者は他のDeFiプロトコルを通じて スワップ 資金をETHに変換し続けた。
攻撃から1時間後、ハッカーはDeFiプロトコルを通じた初期の移動を除き、資金をまだ移動またはミックスしていなかった。BunniXYZに対する攻撃は、1000万ドル未満を盗む比較的小規模なハッキングの最新シリーズの一部である。
比較的小規模な攻撃でさえ、プロトコルの評判を損ない、新たなDeFiハブを破壊することが多い。Cryptopolitanが報じたように、最も最近のスマートコントラクトの脆弱性の1つはBetterBankに対するものだった。 報告しました。これには完全な準備預金と独立監査が含まれます。。このような攻撃は内部関係者による犯行や、北朝鮮（DPRK）のハッカーによってWeb3に注入された悪意のあるコードへの疑念を高める。
ピーク時に攻撃されたBunniXYZ
BunniXYZは、 Ethereum とUnichainの両方を使用するDEXだ。新しい市場は、より複雑な取引ルールを持つ特別な金庫と市場を作成するためにUniswap V4技術も使用している。
他の市場と同様に、BunniXYZはロックされた価値の地域的なピークに達した直後に攻撃を受けた。8月末時点で、この取引所は金庫に最大6000万ドルを保有していた。同市場は2月にローンチし、新たなDeFiプロトコルの中で地位を確立した後、まだ比較的小規模だった。
8月はまた、10億ドル以上の取引量を記録した同DEXにとって最も成功した月の1つだった。取引所は特に 再担保のための流動性を構築しながら、市場の下落中に清算を回避していた。DEXの流動性はまた、受動的な収入を得るためにEuler Protocolにもリンクされていた。
BunniXYZはUniswap V4の拡大した取引量に乗じ、同プロトコルはイーサリアムの金庫に 393Mドル 、Unichainに$298Mを引き寄せた。
ハッカーはBunniXYZの流動性計算を悪用
ハッキング後の分析により、BunniXYZは特定の流動性再計算契約により脆弱であることが判明した。同DEXはUniswap V4技術を使用する流動性フックだが、Uniswapの流動性計算を使用する代わりに、BunniXYZは流動性分布関数（LDF）を再計算する。
攻撃者は 問題を解決するため、HypurrFiは現在、Aaveのデプロイヤーおよびセキュリティ研究者と連携している。また、他のAaveフォークプロジェクトにもセキュリティに関する洞察を提供するよう連絡するよう促し、この脆弱性が自社の市場以外のプラットフォームにも影響を与える可能性があることを示唆した。 流動性分布関数が特定のサイズの取引から外れる可能性があることを利用した。これにより、スマートコントラクトは実際に保有しているよりも多くのトークンを流動性プールから支払い、取引所を空にする結果となった。攻撃者は最終的に230万ドルを蓄積するために複数の取引を繰り返す必要があり、その後それらをETHにスワップした。彼はその後、ETHをAaveに預け入れ、 ウォレットの 最終残高に基づき、AethUSDCで133万ドル、AethUSDTで100万ドルを保有していた。
BunniXYZは過去の監査を受けているが、LDFのバグは取引所の後続バージョンに伴って導入された可能性がある。最も可能性の高い原因は精度のバグであり、これによりハッカーは欠陥のある再計算に基づいてより大きな残高を蓄積するために複数の取引を実行する必要があった。
暗号通貨のニュースを読むだけでなく、それを理解しましょう。ニュースレターに登録してください。無料です。
免責事項。 ここに提供される情報は取引助言ではありません。 Cryptopolitan.com 当社は、このページに提供される情報に基づいて行われたいかなる投資に対しても責任を負いません。いかなる投資判断を下す前に、独立した調査および/または資格を有する専門家への相談を強く推奨します。
クリスティーナ・バシレワ
Hristina Vasileva氏は、DeFi、ビジネス、経済ニュースを専門としています。ソフィア大学で哲学の修士号を取得し、その前には経営学、ジャーナリズム、マスメディアの4年間の学士課程を修了しました。同国の主要新聞の一つで商品市場や企業業績を担当し、現在はCryptopolitanの寄稿記者を務めています。
