Nawalan ng $8.4M sa Liquidity Exploit ang Decentralized Exchange na BunniXYZ
Ang decentralized exchange (DEX) na BunniXYZ ay iniulat na nawalan ng $8.4 milyon dahil sa isang security exploit na nakabase sa liquidity.
Ayon sa on-chain security firm na Hacken, $6 milyon mula sa pondo ng DEX ay ninakaw sa pamamagitan ng Unichain blockchain at $2.4 milyon naman sa pamamagitan ng Ethereum. Lahat ng pondo mula sa Unichain ay inilipat sa Ethereum gamit ang Across Protocol.
Kumpirmado ang pag-atake sa isang tweet, sinabi ng BunniXYZ na pansamantala nitong itinigil ang lahat ng aktibidad ng smart contract sa kanilang network at “aktibong iniimbestigahan” ang mga pangyayari sa likod ng insidente. Dagdag pa nila, magbibigay sila ng mga update sa lalong madaling panahon.
🚨 Ang Bunni app ay naapektuhan ng isang security exploit. Bilang pag-iingat, pansamantala naming itinigil ang lahat ng smart contract functions sa lahat ng network. Ang aming team ay aktibong nagsasagawa ng imbestigasyon at magbibigay ng mga update sa lalong madaling panahon. Salamat sa inyong pasensya.
Itinatag noong Pebrero 2025, ang BunniXYZ ay nakabase sa automated market maker na Uniswap v4, at pangunahing gumagamit ng Ethereum at Unichain blockchains. Sa kasalukuyan, mayroon itong cross-chain Total Value Locked (TVL) na higit sa $50 milyon ayon sa DeFiLlama, bagaman umabot ito ng mahigit $80 milyon noong mas maaga nitong Agosto.
Si Michael Bentley, co-founder ng lending protocol na Euler, ay nagpayong alisin ng mga user ang kanilang pondo mula sa Bunni sa isang tweet, at idinagdag na habang nire-rebalance ng DEX ang mga pondo papasok at palabas ng Euler, ang lending protocol ay "hindi apektado o nanganganib." Ang Euler ay nakaranas ng malaking exploit noong 2023 kung saan halos $200 milyon ang ninakaw ng mga hacker, ngunit karamihan dito ay nabawi rin kalaunan.
Ano ang nangyari?
Ayon sa on-chain analyst na si Victor Tran, co-founder ng Kyber Network, minanipula ng mga hacker ang “liquidity curve” ng Bunni, na kilala rin bilang LDF (Liquidity Density Function). Ito ang sistemang nagkakalkula kung gaano karaming dagdag na liquidity ang mayroon sa exchange at nire-rebalance ang liquidity pool nito upang mapanatili ang tamang ratio ng mga token.
1. Ang Bunni ay isang liquidity hook na tumatakbo sa ibabaw ng UniswapV4. Sa halip na gamitin ang normal na sistema ng UniswapV4, may sarili itong liquidity curve na tinatawag na LDF (Liquidity Distribution Function).
2. Pagkatapos ng bawat trade, sinusuri ng Bunni kung nagbago ang LDF curve nito mula sa huling trade. Kung nagbago ito,…
Sabi ni Tran, minanipula ng mga hacker ang LDF na ito “sa pamamagitan ng paggawa ng mga trade na may napaka-espesipikong laki.” Dahil dito, nasira ang kalkulasyon ng rebalancing, na nagresulta sa maling resulta kung gaano karaming bahagi ng bawat liquidity pool ang dapat pagmamay-ari.
Sa paulit-ulit na prosesong ito, diumano'y nakapag-withdraw ang mga hacker ng mas maraming token kaysa sa dapat nilang makuha mula sa Bunni.
Ang Bunni mismo ay hindi pa nakukumpirma ang mekanismo sa likod ng pag-atake.
