Децентралізована біржа, побудована на технології Uniswap V4, оголосила, що закриється назавжди після того, як злом на $8.4 мільйона вичерпав її резерви, а команда розробників заявила, що їй не вистачає коштів для перезапуску. Bunni DEX повідомив користувачів про можливість виведення залишків активів, але казна платформи буде розподілена серед власників токенів у ході закриття діяльності компанії.
Що потрібно знати:
- Хакери використали кастомну систему ліквідності Bunni DEX 2 вересня, використовуючи флеш-кредити для маніпуляції розрахунками, вичерпуючи кошти у мережах Ethereum і Unichain, незважаючи на попередні аудити безпеки.
- Загальна вартість платформ зросла з $2.2 мільйона до майже $80 мільйонів, перш ніж атака знищила місяці зростання за секунди.
- Закриття додає труднощів для децентралізованого фінансового року, з понад $3.1 мільярда втраченими внаслідок експлойтів у 2025 році за даними компанії з безпеки Hacken.
Деталі експлойту та фінансові наслідки
Злом був спрямований на функцію розподілу ліквідності Bunni, власний механізм, розроблений командою для оптимізації ліквідності торгівлі. Атакуючі використовували флеш-кредити—тимчасові некориговані кредити, які мають бути повернені у межах однієї транзакції блокчейну, щоб маніпулювати внутрішніми розрахунками платформи. Це викликало помилки округлення, які дозволили хакерам систематично вилучати кошти.
Trail of Bits та Cyfrin провели аудити коду Bunni до атаки. Однак вразливість логічного рівня не була виявлена цими компаніями.
Команда зупинила всі смарт-контракти одразу після виявлення злому.
Вони повідомили на X, що для перезапуску платформи потрібні шість або сім чисель на всебічні аудити та системи моніторингу. "Щоб безпечно перезапустити, нам потрібно шість або сім чисель на аудити та моніторинг, капітал, якого у нас просто немає," написала команда.
Казна Bunni буде розподілена серед власників токенів BUNNI, LIT і veBUNNI. Команда розробників зазначила, що не включатиме себе у компенсаційні виплати. Користувачів попросили вивести залишкові активи "до наступних повідомлень."
Перед закриттям команда повторно ліцензувала версію 2 своїх смарт-контрактів з ліцензії на використання у бізнесі на MIT. Це відкриває технології платформи, включаючи функції розподілу ліквідності, комісії за стрибок та автономні функції перерозподілу, для інших розробників.
Наслідки для галузі та проблеми безпеки
Колапс платформи підкреслює стійкі вразливості у протоколах децентралізованих фінансів. Bunni демонструвала швидке зростання у місяці до атаки, з даними від DeFiLlama, які показують, що загальна вартість платформи зросла з $2.2 мільйона до майже $80 мільйонів. Злом усунув цей прогрес за секунди.
Атаки на флеш-кредити стали повторюваною проблемою у децентралізованих фінансах. Ці експлойти користуються тим, що транзакції у блокчейнах виконуються атомарно, тобто всі операції в межах транзакції або успішно виконуються повністю, або не виконуються взагалі. Атакуючі позичають великі суми, маніпулюють цінами або розрахунками, отримують вигоду від маніпуляції, повертають кредит і забирають різницю, все в межах однієї транзакції.
Втрата $8.4 мільйона на Bunni представляє лише частину збитків, які були завдані у децентралізованому фінансовому секторі цього року.
Дослідники безпеки з Hacken повідомили про загальні втрати від експлойтів у 2025 році понад $3.1 мільярда.
Інцидент може спонукати розробників переосмислити, як вони розгортають власну логіку смарт-контрактів. Спостерігачі галузі припускають, що платформи, ймовірно, збільшать витрати на аудити безпеки, впровадять системи моніторингу в реальному часі і розширять програми підсорог винагород, що платять дослідникам за виявлення вразливостей до того, як зловмисники можуть їх експлуатувати.
Ключові терміни у децентралізованих фінансах
Загальна вартість заблокована відноситься до суми криптовалюти, депонованої у децентралізованому фінансовому протоколі, що служить мірою розміру платформи та впевненості користувачів. Флеш-кредити є некоригованими кредитами, які повинні бути запозичені та повернені в межах тієї ж транзакції блокчейну, зазвичай використовуються для арбітражу, але також експлуатуються зловмисниками. Смарт-контракти є самовиконуваними програмами на блокчейнах, які автоматично дотримуються умов угоди без посередників.
Функції розподілу ліквідності управляють тим, як ліквідність торгівлі розподіляється по різних діапазонах цін в децентралізованій біржі, з метою підвищення ефективності капіталу як для трейдерів, так і для постачальників ліквідності.
Завершальні думки
Закриття Bunni DEX ілюструє фінансові та технічні труднощі, з якими стикаються платформи децентралізованих фінансів після великих порушень безпеки. Рішення команди перед закриттям відкрити вихідний код своєї технології може дозволити іншим розробникам вчитися на вразливостях платформи при побудові майбутніх проектів.