Une bourse décentralisée construite sur la technologie Uniswap V4 annonce qu'elle fermera définitivement après qu'une faille de sécurité de 8,4 millions de dollars ait vidé ses réserves, l'équipe de développement disant qu'elle manque des fonds nécessaires pour relancer. Bunni DEX a informé les utilisateurs qu'ils peuvent retirer les actifs restants, mais que le trésor de la plateforme sera divisé entre les détenteurs de tokens alors que la société cesse ses opérations.
À savoir :
- Des pirates ont exploité le système de liquidité personnalisé de Bunni DEX le 2 septembre en utilisant des prêts flash pour manipuler les calculs, vidant des fonds sur les réseaux Ethereum et Unichain malgré des audits de sécurité antérieurs.
- La valeur totale bloquée de la plateforme était passée de 2,2 millions de dollars à près de 80 millions de dollars avant que l'attaque ne détruise des mois de croissance en quelques secondes.
- La fermeture s'ajoute à une année troublante pour la finance décentralisée, avec plus de 3,1 milliards de dollars perdus à des exploits en 2025 selon la société de sécurité Hacken.
Détails de l'exploit et répercussions financières
La brèche a ciblé la fonction de distribution de liquidité de Bunni, un mécanisme propriétaire développé par l'équipe pour optimiser la liquidité de trading. Les attaquants ont utilisé des prêts flash—des prêts temporaires non garantis qui doivent être remboursés dans la même transaction blockchain—pour manipuler les calculs internes de la plateforme. Cela a déclenché des erreurs d'arrondi qui ont permis aux pirates d'extraire les fonds de manière systématique.
Trail of Bits et Cyfrin avaient tous deux effectué des audits de sécurité sur le code de Bunni avant l'attaque. La vulnérabilité au niveau logique, cependant, a échappé aux deux entreprises.
L'équipe a interrompu tous les contrats intelligents immédiatement après avoir découvert la brèche.
Ils ont posté sur X que relancer la plateforme nécessiterait de six à sept chiffres pour des audits complets et des systèmes de surveillance. "Pour relancer en toute sécurité, il nous faudrait de six à sept chiffres pour des audits et une surveillance, un capital que nous n'avons tout simplement pas", a écrit l'équipe.
Le trésor de Bunni sera distribué parmi les détenteurs des tokens BUNNI, LIT et veBUNNI. L'équipe de développement a déclaré qu'elle s'exclurait des paiements de compensation. Les utilisateurs ont été priés de retirer leurs actifs restants "jusqu'à nouvel ordre".
Avant la fermeture, l'équipe a réécrit sa version 2 des contrats intelligents sous la licence MIT, permettant ainsi à d'autres développeurs d'accéder à la technologie de la plateforme—including des fonctions de distribution de liquidité, des frais de surtension et des fonctions de rééquilibrage autonome.
Implications pour l'industrie et préoccupations de sécurité
L'effondrement de la plateforme souligne les vulnérabilités persistantes dans les protocoles de finance décentralisée. Bunni avait connu une croissance rapide dans les mois précédant l'attaque, les données de DeFiLlama montrant que sa valeur totale bloquée était passée de 2,2 millions de dollars à près de 80 millions de dollars. La brèche a éliminé ces progrès en quelques secondes.
Les attaques par prêts flash sont devenues un problème récurrent dans la finance décentralisée. Ces exploits profitent du fait que les transactions blockchain s'exécutent de manière atomique—ce qui signifie que toutes les opérations doivent soit toutes aboutir, soit échouer entièrement. Les attaquants empruntent de grosses sommes, manipulent les prix ou les calculs, tirent profit de la manipulation, remboursent le prêt, et empochent la différence, le tout dans une seule transaction.
La perte de 8,4 millions de dollars chez Bunni représente une fraction des dégâts observés dans le secteur de la finance décentralisée cette année.
Les chercheurs en sécurité de Hacken ont rapporté plus de 3,1 milliards de dollars en pertes totales dues à des exploits en 2025.
L'incident pourrait inciter les développeurs à reconsidérer la façon dont ils déploient la logique personnalisée des contrats intelligents. Les observateurs de l'industrie suggèrent que les plateformes augmenteront probablement les dépenses en audits de sécurité, mettront en œuvre des systèmes de surveillance en temps réel, et élargiront les programmes de récompense de bug qui paient les chercheurs pour identifier les vulnérabilités avant que les attaquants ne puissent les exploiter.
Termes clés dans la finance décentralisée
La valeur totale bloquée se réfère à la quantité de cryptocryptomonnaie déposée dans un protocole de finance décentralisée, servant de mesure de la taille de la plateforme et de la confiance des utilisateurs. Les prêts flash sont des prêts non garantis qui doivent être empruntés et remboursés dans la même transaction blockchain, généralement utilisés pour l'arbitrage mais aussi exploités par les attaquants. Les contrats intelligents sont des programmes auto-exécutables sur les blockchains qui appliquent automatiquement les termes des accords sans intermédiaires.
Les fonctions de distribution de liquidité gèrent la manière dont la liquidité de trading est répartie sur différentes gammes de prix dans une bourse décentralisée, visant à améliorer l'efficacité du capital tant pour les traders que pour les fournisseurs de liquidité.
Conclusion
La fermeture de Bunni DEX illustre les défis financiers et techniques auxquels font face les plateformes de finance décentralisée après de graves brèches de sécurité. La décision de l'équipe d'ouvrir sa technologie avant de fermer pourrait permettre à d'autres développeurs d'apprendre des vulnérabilités de la plateforme tout en construisant de futurs projets.