A exchange Ethereum BunniXYZ foi drenada por $2,3M numa exploração de contrato inteligente
- A BunniXYZ foi explorada por meio de seu contrato inteligente de rebalanceamento de liquidez, movendo $2,3 milhões.
- O explorador realizou várias transações para usar a falha no contrato inteligente, que executava cálculos defeituosos e concedia mais tokens.
- A BunniXYZ teve um de seus meses mais bem-sucedidos em agosto, atingindo um TVL máximo superior a $60 milhões.
A exchange Ethereum BunniXYZ viu uma série de saídas não autorizadas. Investigadores on-chain identificaram o evento como um hack, com perdas de cerca de $2,3M.
A BunniXYZ, uma descentralized exchange (DEX) da Ethereum, foi explorada através de um dos seus contratos inteligentes. O hacker moveu principalmente stablecoins, para uma perda total de $2,3M.
Identificámos uma exploração de $2,3M no contrato @bunni_xyz BunniHub.https://t.co/lZB0vzSMQx
O explorador exfiltrou fundos para 0xe04efd87f410e260cf940a3bcb8bc61f33464f2b.
Mantenha-se Vigilante!
— CertiK Alert (@CertiKAlert) September 2, 2025
Com base no histórico de transações, o hacker atacou as vaults de USDT e USDC, depois moveu os tokens através do ecossistema Ethereum, terminando com uma mistura de ETH e stablecoins. Nos primeiros minutos, a BunniXYZ reconheceu o ataque contra a sua aplicação, fechando todos os contratos inteligentes.
Pouco depois do hack, o explorador continuou a troca fundos para ETH através de outros protocolos DeFi.
Na hora após o ataque, o hacker ainda não tinha movido ou misturado os fundos, exceto pelos movimentos iniciais através de protocolos DeFi. O ataque à BunniXYZ faz parte da última série de hacks relativamente menores, roubando menos de $10M.
Mesmo os ataques relativamente pequenos muitas vezes custam a reputação dos protocolos e destroem novos hubs DeFi. Um dos exploits de contratos inteligentes mais recentes foi contra a BetterBank, como o Cryptopolitan reportou. Tais ataques levantam suspeitas de trabalhos internos, ou código malicioso injetado na Web3 por hackers da RPCD.
BunniXYZ atacado no pico
A BunniXYZ é uma DEX que usa tanto blockchain como Unichain. O novo mercado também usa a tecnologia Uniswap V4 para criar vaults especiais e mercados com regras de negociação mais complexas.
Como outros mercados, a BunniXYZ foi atacada pouco depois de atingir um pico local de valor bloqueado. No final de agosto, a exchange tinha até $60M nas suas vaults. O mercado ainda era relativamente pequeno, após o lançamento em fevereiro e encontrar o seu lugar entre os novos protocolos DeFi.
Agosto foi também um dos meses mais bem-sucedidos para a DEX, com mais de $1B em volumes. A exchange estava especificamente a construir liquidez para rehypothecation, evitando liquidações durante quedas de mercado. A liquidez da DEX também estava ligada ao Euler Protocol para rendimento passivo.
A BunniXYZ aproveitou os volumes expandidos do Uniswap V4, já que o protocolo atraiu mais de US$ 393M para as suas vaults na Ethereum e $298M no Unichain.
Hacker explorou o cálculo de liquidez da BunniXYZ
A análise pós-hack mostrou que a BunniXYZ era vulnerável devido ao seu contrato específico de recálculo de liquidez. A DEX é um gancho de liquidez, usando a tecnologia Uniswap V4. No entanto, em vez de usar o cálculo de liquidez da Uniswap, a BunniXYZ recalcula a Função de Distribuição de Liquidez.
O explorador A HypurrFi, por meio de seu sistema de monitoramento interno, a Função de Distribuição de Liquidez poderia ser quebrada por negociações de tamanhos específicos. Isso significava que o contrato inteligente pagaria mais tokens da pool de liquidez do que realmente possuído, drenando finalmente a exchange. O atacante teve que repetir múltiplas transações para finalmente acumular US$ 2,3M, depois trocá-los por ETH. Ele então depositou o ETH na Aave, mantendo US$ 1,33M em AethUSDC e US$ 1M em AethUSDT com base no carteira’s saldo final.
A BunniXYZ passou por auditorias anteriores, mas o bug da LDF pode ter chegado com uma versão posterior da exchange. A causa mais provável é um bug de precisão, que exigiu que o hacker realizasse múltiplas transações para acumular um saldo maior com base no recálculo defeituoso.
Não apenas leia notícias sobre criptomoedas. Entenda-as. Inscreva-se em nossa newsletter. É grátis.
Aviso Legal. As informações fornecidas não constituem aconselhamento de investimento. Cryptopolitan.com não assume responsabilidade por quaisquer investimentos realizados com base nas informações fornecidas nesta página. Recomendamos fortemente a realização de pesquisa independente e/ou consulta com um profissional qualificado antes de tomar quaisquer decisões de investimento.
Hristina Vasileva
Hristina Vasileva especializa-se em notícias sobre DeFi, negócios e economia. Formou-se na Universidade de Sofia com mestrado em Filosofia, após concluir graduação de 4 anos em Administração de Empresas, Jornalismo e Comunicação de Massa. Trabalhou em um dos principais jornais do país, cobrindo commodities e resultados corporativos. Atualmente, Hristina é autora contribuinte de notícias na Cryptopolitan.
