Децентрализованная биржа BunniXYZ потеряла $8.4 млн из-за эксплойта ликвидности

Децентрализованная биржа (DEX) BunniXYZ, по сообщениям, потеряла 8.4 миллиона долларов из-за эксплойта, связанного с ликвидностью.

Согласно данным on-chain компании по безопасности Hacken, 6 миллионов долларов из средств DEX были украдены через блокчейн Unichain и 2.4 миллиона долларов через Ethereum. Все средства из Unichain затем были переброшены в Ethereum с помощью Across Protocol.

Подтверждая атаку в твите, BunniXYZ сообщила, что приостановила всю деятельность смарт-контрактов в своей сети и «активно расследует» обстоятельства атаки. Также было добавлено, что обновления будут предоставлены в ближайшее время.

Основанная в феврале 2025 года, BunniXYZ базируется на автоматизированном маркет-мейкере Uniswap v4 и в основном использует блокчейны Ethereum и Unichain. В настоящее время, по данным DeFiLlama, общий cross-chain TVL составляет чуть более 50 миллионов долларов, хотя ранее в августе этот показатель превышал 80 миллионов долларов.

Майкл Бентли, соучредитель кредитного протокола Euler, в твите посоветовал пользователям вывести свои средства из Bunni, добавив, что хотя DEX перебалансирует средства внутри и вне Euler, сам кредитный протокол «не затронут и не находится под угрозой». Euler сам пережил крупный эксплойт в 2023 году, когда хакеры украли почти 200 миллионов долларов, большая часть которых впоследствии была возвращена.

Что произошло?

Согласно on-chain аналитику Виктору Трану, соучредителю Kyber Network, хакеры манипулировали «кривой ликвидности» Bunni, также известной как LDF (Liquidity Density Function). Это система, которая рассчитывает, сколько дополнительной ликвидности существует на бирже, и перебалансирует пул ликвидности для поддержания правильного соотношения токенов.

Тран сообщил, что хакеры манипулировали этой LDF, «совершая сделки очень определенного размера». Это привело к сбою в расчетах перебалансировки, что дало неверные результаты относительно того, какая доля пула ликвидности должна принадлежать каждому участнику.

Повторяя этот процесс, хакеры, предположительно, смогли вывести больше токенов, чем им полагалось, из Bunni.

Сама Bunni пока не подтвердила механизм атаки.