Децентрализованная биржа, построенная на технологии Uniswap V4, объявила, что навсегда закроется после взлома на $8,4 миллиона, который истощил ее резервы. Команда разработчиков заявила, что у нее нет необходимых средств для повторного запуска. Bunni DEX сообщила пользователям, что они могут вывести оставшиеся активы, но казна платформы будет распределена среди держателей токенов, пока компания завершает свою деятельность.
Что нужно знать:
- Хакеры использовали кастомную систему ликвидности Bunni DEX 2 сентября, применяя флэш-кредиты для манипулирования расчетами, и вывели средства из сетей Ethereum и Unichain, несмотря на предыдущие аудиторы безопасности.
- Общая заблокированная стоимость платформы выросла с $2,2 миллиона до почти $80 миллионов до нападения, которое уничтожило месяцы роста за секунды.
- Закрытие добавляет к проблемному году для децентрализованных финансов, поскольку, по данным security фирмы Hacken, в 2025 году на эксплойтах потеряно более $3,1 миллиарда.
Подробности эксплойта и финансовые последствия
Атака была направлена на функцию распределения ликвидности Bunni, проприетарный механизм, разработанный командой для оптимизации торговой ликвидности. Атакующие использовали флэш-кредиты — временные неколлатерализованные кредиты, которые должны быть возвращены в той же транзакции блокчейна, чтобы манипулировать внутренними расчетами платформы. Это привело к округлительным ошибкам, позволившим хакерам систематически извлекать средства.
Trail of Bits и Cyfrin провели аудиты безопасности кода Bunni до атаки. Тем не менее, уязвимость на уровне логики не была обнаружена ни одной из фирм.
Команда сразу же остановила все смарт-контракты после обнаружения атаки.
Они опубликовали на X, что для повторного запуска платформы потребуется сумма от шести до семи цифр для комплексных аудитов и систем мониторинга. «Чтобы безопасно перезапустить, нам нужно от шести до семи цифр для аудитов и мониторинга, капитала, которого у нас просто нет», — написали они.
Казна Bunni будет распределена среди держателей токенов BUNNI, LIT и veBUNNI. Команда разработчиков заявила, что исключит себя из компенсационных выплат. Пользователям было предложено вывести оставшиеся активы «до дальнейших уведомлений».
Перед закрытием команда изменила лицензию на свою версию 2 смарт-контрактов с бизнес-лицензии на лицензию MIT. Это открывает технологию платформы, включая функции распределения ликвидности, комиссии за всплески и автономные функции ребалансировки, другим разработчикам.
Последствия для индустрии и вопросы безопасности
Крах платформы подчеркивает постоянные уязвимости в протоколах децентрализованных финансов. Bunni переживала быстрое развитие перед атакой, как свидетельствуют данные DeFiLlama, показывающие, что ее общая запертая стоимость выросла с $2,2 миллиона до почти $80 миллионов. Нарушение уничтожило этот прогресс за секунды.
Атаки с флэш-кредитами стали повторяющейся проблемой в децентрализованных финансах. Эти эксплойты используют тот факт, что транзакции в блокчейне исполняются атомарно — то есть все операции в транзакции либо завершаются успешно, либо полностью проваливаются. Злоумышленники занимают большие суммы, манипулируют ценами или расчетами, извлекают прибыль, возвращают займ и кладут разницу в карман, все в одной транзакции.
Потеря в $8,4 миллиона в Bunni представляет лишь часть ущерба, наблюдаемого в секторе децентрализованных финансов в этом году.
Исследователи безопасности из Hacken сообщили о более чем $3,1 миллиарда в суммарных убытках от эксплойтов в 2025 году.
Инцидент может побудить разработчиков пересмотреть подход к применению пользовательской логики смарт-контрактов. Наблюдатели индустрии предполагают, что платформы, вероятно, увеличат расходы на аудиты безопасности, внедрят системы реального времени мониторинга и расширят программы bug bounty, выплачивающие исследователям за выявление уязвимостей до того, как их смогут эксплуатировать атакующие.
Основные термины в децентрализованных финансах
"Общая заблокированная стоимость" относится к количеству криптовалют, депонированных в протоколе децентрализованных финансов, служащим мерой размера платформы и уверенности пользователей. Флэш-кредиты — это неколлатерализованные кредиты, которые должны быть взяты и возвращены в одной и той же транзакции блокчейна, обычно используемые для арбитража, но также эксплуатируемые атакующими. Смарт-контракты — это самовыполняющиеся программы на блокчейнах, которые автоматически обеспечивают соблюдение условий соглашения без посредников.
Функции распределения ликвидности управляют тем, как торговая ликвидность распределяется по различным ценовым диапазонам на децентрализованной бирже, с целью улучшения капитальной эффективности как для трейдеров, так и для провайдеров ликвидности.
Заключительные мысли
Закрытие Bunni DEX иллюстрирует финансовые и технические проблемы, стоящие перед платформами децентрализованных финансов после крупных нарушений безопасности. Решение команды сделать свою технологию открытой перед закрытием может позволить другим разработчикам извлечь уроки из уязвимостей платформы при создании будущих проектов.