Биржа Ethereum BunniXYZ обокрадена на $2,3 млн в результате эксплуатации смарт-контракта
- BunniXYZ был взломан через свой смарт-контракт для ребалансировки ликвидности, что привело к выводу 2,3 млн долларов.
- Злоумышленник выполнил несколько транзакций, используя ошибку в смарт-контракте, которая приводила к некорректным расчетам и выдаче избыточного количества токенов.
- В августе BunniXYZ пережил один из самых успешных месяцев, достигнув пикового TVL более чем в 60 млн долларов.
Биржа BunniXYZ на Ethereum пережила серию несанкционированных оттоков. Ончейн-расследователи квалифицировали событие как взлом, с убытками около $2,3 млн.
BunniXYZ, децентрализованная биржа Ethereum, была взломана через один из своих смарт-контрактов. Хакер вывел преимущественно стейблкоины, что привело к общим убыткам в $2,3 млн.
Мы выявили эксплуатацию на $2,3 млн в контракте @bunni_xyz BunniHub.https://t.co/lZB0vzSMQx
Эксплуататор вывел средства на адрес 0xe04efd87f410e260cf940a3bcb8bc61f33464f2b.
Будьте начеку!
— CertiK Alert (@CertiKAlert) сентябрь 2, 2025
Согласно история транзакций, хакер атаковал хранилища USDT и USDC, затем переместил токены через экосистему Ethereum, в результате чего образовалась смесь ETH и стейблкоинов. В течение первых минут BunniXYZ проект распознал атаку на свое приложение, закрыв все смарт-контракты.
Вскоре после взлома эксплуататор продолжал обмен переводить средства в ETH через другие протоколы DeFi.
В час после атаки хакер еще не перемещал и не смешивал средства, за исключением начальных движений через протоколы DeFi. Атака на BunniXYZ является частью последней серии относительно мелких взломов, когда было украдено менее $10 млн.
Даже относительно небольшие атаки часто наносят ущерб репутации протоколов и разрушают новые хабы DeFi. Одним из самых недавних взломов смарт-контрактов стал BetterBank, как сообщает Cryptopolitan сообщал. Такие атаки вызывают подозрения в причастности инсайдеров или внедрении вредоносного кода в Web3 хакерами из КНДР.
BunniXYZ атакован на пике
BunniXYZ — это DEX, использующий как блокчейне , так и Unichain. Новый рынок также использует технологию Uniswap V4 для создания специальных хранилищ и рынков с более сложными правилами торговли.
Как и на других рынках, BunniXYZ был атакован вскоре после достижения локального пика заблокированной стоимости. К концу биржа проводила до $60 млн в своих хранилищах. Рынок все еще был относительно небольшим, после запуска в феврале и нахождения своего места среди новых протоколов DeFi.
Август также стал одним из самых успешных месяцев для DEX, с объемами более $1 млрд. Биржа специально создавала ликвидность для реипотеки, избегая ликвидации во время рыночных спадов. Ликвидность DEX также была связана с Euler Protocol для получения пассивного дохода.
BunniXYZ воспользовался расширенными объемами Uniswap V4, так как протокол привлек более $393M в свои хранилища на Ethereum и $298M на Unichain.
Хакер эксплуатировал расчет ликвидности BunniXYZ
Анализ после взлома показал, что BunniXYZ был уязвим из-за своего специфического контракта пересчета ликвидности. DEX представляет собой ликвидностный хук, использующий технологию Uniswap V4. Однако вместо использования расчета ликвидности Uniswap, BunniXYZ пересчитывает Функцию Распределения Ликвидности (LDF).
Эксплуататор ошибки в логике вычислений Aave V3, немедленно приостановив новые депозиты и займы на затронутых рынках. Этот шаг был предпринят для обеспечения безопасности средств пользователей и возможности вывода средств и погашения займов без каких-либо рисков. Функцию Распределения Ликвидности могла нарушаться при сделках определенного размера. Это означало, что смарт-контракт выплачивал бы больше токенов из пула ликвидности, чем фактически было в нем, что приводило к опустошению биржи. Атакующему пришлось повторить множество транзакций, чтобы в конечном итоге накопить $2,3 млн, а затем обменять их на ETH. Затем он внес ETH в Aave, удерживая $1,33 млн в AethUSDC и $1 млн в AethUSDT на основе кошелька его конечного баланса.
BunniXYZ проходил предыдущие аудиты, но ошибка LDF могла появиться в более поздней версии биржи. Наиболее вероятной причиной является ошибка точности, которая требовала от хакера выполнения множества транзакций для накопления большего баланса на основе ошибочного пересчета.
Если вы читаете это, вы уже впереди. Оставайтесь с нами, подписавшись на нашу рассылку.
Отказ от ответственности. Предоставленная информация не является торговой рекомендацией. Cryptopolitan.com Мы не несем ответственности за любые инвестиции, сделанные на основе информации, представленной на этой странице. Мы настоятельно рекомендуем проводить независимое исследование и/или проконсультироваться с квалифицированным специалистом перед принятием любых инвестиционных решений.
Христина Василева
Христина Василева специализируется на новостях из сферы DeFi, бизнеса и экономики. Она получила степень магистра философии в Софийском университете после четырехлетнего обучения по специальности «Бизнес-администрирование, журналистика и массовые коммуникации». Она работала в одной из ведущих газет страны, освещая вопросы сырьевых товаров и корпоративных финансовых результатов. В настоящее время Христина является внештатным автором новостей в Cryptopolitan.
