Zdecentralizowana giełda zbudowana na technologii Uniswap V4 ogłosiła, że zamknie się na stałe po tym, jak naruszenie bezpieczeństwa na 8,4 miliona dolarów opróżniło jej rezerwy, przy czym zespół deweloperski stwierdził, że brakuje mu środków na ponowne uruchomienie. Bunni DEX poinformowało użytkowników, że mogą wyciągać pozostałe aktywa, ale skarbiec platformy zostanie podzielony między posiadaczy tokenów, podczas gdy firma zakończy swoją działalność.
Co Wiedzieć:
- Hakerzy wykorzystali niestandardowy system płynności Bunni DEX 2 września, używając błyskawicznych pożyczek do manipulacji obliczeniami, pomimo wcześniejszych audytów bezpieczeństwa.
- Całkowita wartość zablokowana platformy wzrosła z 2,2 miliona do prawie 80 milionów dolarów, zanim atak zniweczył miesiące wzrostu w kilka sekund.
- Zamknięcie zwiększa kłopoty roku dla zdecentralizowanych finansów, z ponad 3,1 miliarda dolarów straconych z powodu oszustw w 2025 r. według firmy Hacken.
Szczegóły Eksploatacji i Skutki Finansowe
Naruszenie miało na celu funkcję dystrybucji płynności Bunni, mechanizm zaprojektowany przez zespół do optymalizacji płynności handlowej. Atakujący używali błyskawicznych pożyczek — tymczasowych, niezabezpieczonych pożyczek, które muszą być spłacone w tej samej transakcji blockchain — aby manipulować wewnętrznymi obliczeniami platformy. To wywołało błędy zaokrąglania, które pozwoliły hakerom systematycznie wyciągać fundusze.
Zarówno Trail of Bits, jak i Cyfrin przeprowadziły audyty bezpieczeństwa kodu Bunni przed atakiem. Jednak luka na poziomie logiki pozostała niewykryta przez obie firmy.
Zespół natychmiast zatrzymał wszystkie inteligentne kontrakty po odkryciu naruszenia.
Opublikowali na X, że ponowne uruchomienie platformy wymagałoby od sześciu do siedmiu cyfr na kompleksowe audyty i systemy monitorowania. "Aby bezpiecznie ponownie uruchomić, potrzebujemy sześciu do siedmiu cyfr na audyty i monitorowania, kapitału, którego po prostu nie mamy," napisali.
Skarbiec Bunni zostanie podzielony między posiadaczy tokenów BUNNI, LIT i veBUNNI. Zespół deweloperski powiedział, że wykluczy się z jakichkolwiek wypłat odszkodowań. Użytkownikom kazano wyciągnąć swoje pozostałe aktywa „do odwołania.”
Przed zamknięciem zespół zmienił licencje swoich inteligentnych kontraktów wersji 2 z Business Source License na MIT. To otwiera technologię platformy — w tym funkcje dystrybucji płynności, opłaty surge i funkcje automatycznego równoważenia — dla innych deweloperów.
Wpływ na Branżę i Obawy Bezpieczeństwa
Upadek platformy podkreśla trwałe podatności w protokołach zdecentralizowanych finansów. Bunni doświadczyło szybkiego wzrostu w miesiącach przed atakiem, z danymi od DeFiLlama pokazującymi całkowitą wartość zablokowaną wzrastającą z 2,2 miliona do prawie 80 milionów. Naruszenie wyeliminowało ten postęp w kilka sekund.
Ataki błyskawicznych pożyczek stały się powtarzającym się problemem w zdecentralizowanych finansach. Te eksploaty wykorzystują to, że transakcje blockchain są wykonywane atomowo — co oznacza, że wszystkie operacje w transakcji albo kończą się sukcesem, albo całkowicie zawodzą. Atakujący pożyczają duże sumy, manipulują cenami lub obliczeniami, czerpią korzyści z manipulacji, spłacają pożyczkę i przejmują różnicę, wszystko w jednej transakcji.
Strata 8,4 miliona dolarów w Bunni stanowi ułamek szkód obserwowanych w sektorze zdecentralizowanych finansów w tym roku.
Badacze bezpieczeństwa z Hacken zgłosili straty ponad 3,1 miliarda dolarów z powodu eksploatacji w 2025 r.
Incydent może skłonić deweloperów do przemyślenia, jak wdrażają niestandardową logikę inteligentnych kontraktów. Obserwatorzy branży sugerują, że platformy prawdopodobnie zwiększą wydatki na audyty bezpieczeństwa, wdrożą systemy monitorowania czasu rzeczywistego i rozszerzą programy łowów na błędy, które płacą badaczom za identyfikację podatności, zanim atakujący będą mogli je eksploatować.
Kluczowe Pojęcia w Zdecentralizowanych Finansach
Całkowita wartość zablokowana odnosi się do ilości kryptowaluty zdeponowanej w protokole zdecentralizowanych finansów, służącej jako miara wielkości platformy i zaufania użytkowników. Błyskawiczne pożyczki to niezabezpieczone pożyczki, które muszą być pożyczone i spłacone w tej samej transakcji blockchain, zazwyczaj używane do arbitrażu, ale także wykorzystywane przez atakujących. Inteligentne kontrakty są to samowykonujące się programy na blockchainach, które automatycznie egzekwują warunki umów bez pośredników.
Funkcje dystrybucji płynności zarządzają tym, jak płynność handlowa jest rozmieszczana w różnych przedziałach cenowych na zdecentralizowanej giełdzie, mając na celu poprawę efektywności kapitałowej dla traderów i dostawców płynności.
Zakończenie
Zamknięcie Bunni DEX ilustruje wyzwania finansowe i techniczne stojące przed platformami zdecentralizowanych finansów po poważnych naruszeniach bezpieczeństwa. Decyzja zespołu o otwarciu kodu źródłowego przed zamknięciem może pozwolić innym deweloperom na naukę na wadach platformy podczas budowania przyszłych projektów.