以太坊交易所BunniXYZ因智能合约漏洞损失230万美元

BunniXYZ以太坊交易所发生了一系列未经授权的资金流出。链上调查人员将该事件定性为黑客攻击，损失约为230万美元。 

以太坊去中心化交易所BunniXYZ因其一个智能合约遭到利用。黑客主要转移了稳定币，总损失达230万美元。 

#CertiKInsight 🚨

我们发现了@bunni_xyz BunniHub合约中的230万美元漏洞。https://t.co/lZB0vzSMQx

攻击者已将资金提取至0xe04efd87f410e260cf940a3bcb8bc61f33464f2b。

保持警惕！

— CertiK Alert (@CertiKAlert) 9月2日, 2025

根据 交易历史，黑客攻击了USDT和USDC金库，然后通过以太坊生态系统转移代币，最终获得了一混合的ETH和稳定币。在最初的几分钟内， BunniXYZ 项目识别出针对其应用的黑客攻击，并关闭了所有智能合约。 

黑客事件发生后不久，攻击者继续通过其他DeFi协议 兑换 将资金转换为ETH。 

在攻击发生后的一个小时内，黑客除了通过DeFi协议进行初始移动外，尚未转移或混合资金。针对BunniXYZ的攻击是最近一系列相对较小的黑客攻击的一部分，盗窃金额不到1000万美元。 

即使是相对较小的攻击也往往损害协议声誉并摧毁新的DeFi中心。Cryptopolitan报道了最近一起针对BetterBank的智能合约漏洞事件 在 6 月报道。此类攻击引发了内部人员作案的怀疑，或朝鲜黑客在Web3中注入恶意代码的猜测。 

BunniXYZ在峰值期间遭到攻击

BunniXYZ是一个使用 以太坊 和Unichain的DEX。新市场还利用Uniswap V4技术创建具有更复杂交易规则的特殊金库和市场。 

与其他市场一样，BunniXYZ在达到局部价值锁定峰值后不久遭到攻击。8月底，该交易所的金库中持有高达6000万美元。自2月推出并在新的DeFi协议中找到立足点以来，该市场仍然相对较小。 

8月也是该DEX最成功的月份之一，交易量超过10亿美元。该交易所专门致力于构建 再抵押流动性，同时避免在市场低迷期间发生清算。DEX流动性还与Euler Protocol挂钩以获取被动收入。

BunniXYZ借助Uniswap V4扩大的交易量，该协议吸引了超过 393M美元 存入其以太坊金库和Unichain上的$298M。

黑客利用了BunniXYZ的流动性计算

黑客攻击后的分析显示，BunniXYZ因其特定的流动性重新计算合约而存在漏洞。该DEX是一个流动性挂钩，使用Uniswap V4技术。然而，BunniXYZ并未使用Uniswap的流动性计算，而是重新计算流动性分布函数（Liquidity Distribution Function）。 

攻击者 发现 指出流动性分布函数可能会因特定规模的交易而失效。这意味着智能合约将从流动性池中支付比实际拥有的更多的代币，从而导致交易所被掏空。攻击者不得不重复多次交易，最终累积230万美元，然后将其兑换为ETH。随后，他将ETH存入Aave，根据 钱包的 最终余额，持有133万美元的AethUSDC和100万美元的AethUSDT。 

BunniXYZ此前已进行过多次审计，但LDF漏洞可能出现在交易所的后续版本中。最可能的原因是精度漏洞，这要求黑客执行多次交易以基于有缺陷的重新计算累积更大的余额。