Một sàn giao dịch phi tập trung đã phát triển nhanh chóng để quản lý gần 80 triệu đô la tài sản khóa công bố việc đóng cửa vĩnh viễn trong tuần này, trở thành dự án lớn thứ hai trong lĩnh vực tiền điện tử ngừng hoạt động trong vòng 48 giờ do áp lực tài chính và lỗ hổng bảo mật vẫn tiếp tục hoành hành trong ngành tài sản kỹ thuật số.
Bunni, một sàn giao dịch phi tập trung xây dựng trên công nghệ Uniswap V4, xác nhận vào Thứ Tư rằng không thể chi trả chi phí từ sáu đến bảy con số cần thiết để tái khởi động nền tảng một cách an toàn sau vụ khai thác nghiêm trọng vào ngày 2 tháng 9 đã rút cạn $8.4 triệu từ các pool thanh khoản trên Ethereum và mạng lớp 2 Unichain của Uniswap.
Khai thác lỗ hổng phân phối thanh khoản
Cuộc tấn công nhắm vào lỗ hổng nghiêm trọng trong Chức năng Phân phối Thanh khoản độc quyền của Bunni, một cơ chế được thiết kế để tối ưu hóa lợi nhuận cho những người cung cấp thanh khoản bằng cách phân bổ động vốn qua các dải giá khác nhau. Các công ty bảo mật CertiK và Halborn đã truy ra lỗ hổng do các lỗi làm tròn phức tạp cho phép kẻ tấn công thao túng các tính toán nội bộ thông qua các cuộc tấn công vay chớp nhoáng.
Phân tích hậu khám của Halborn cho thấy lỗ hổng xuất phát từ hậu quả không mong đợi trong chức năng rút tiền của giao thức. Các nhà phát triển đã giả định sai rằng làm tròn chìa khóa giá trị xuống sẽ tăng số dư không sử dụng, nhưng điều ngược lại đã xảy ra - cho phép kẻ tấn công rút một lượng token không cân xứng trong khi đốt cháy thanh khoản tối thiểu.
Các hacker đã thực hiện các giao dịch được hiệu chỉnh cẩn thận bằng cách sử dụng số lượng cụ thể khiến tính toán cân bằng lại của Bunni bị nhầm lẫn, từ từ rút khoảng $2.4 triệu từ Ethereum và $6 triệu từ Unichain trước khi hợp nhất tài sản bị đánh cắp - chủ yếu là các stablecoin USDC và USDT - vào ví Ethereum.
Sự trỗi dậy sau đó bị cắt ngắn
Việc đóng cửa đại diện cho một sự đảo ngược kịch tính của một nền tảng đã trải qua sự tăng trưởng bùng nổ trong những tháng trước khi bị tấn công. Theo dữ liệu của DeFiLlama, tổng giá trị khóa của Bunni đã tăng từ chỉ $2.23 triệu vào giữa tháng 6 năm 2025 lên gần $80 triệu vào ngày 19 tháng 8 - tức là đã tăng 35 lần, cho thấy sự thèm muốn mạnh mẽ của thị trường đối với công nghệ nhà tạo lập thị trường tự động sáng tạo của nó.
Nền tảng đã trải qua các cuộc kiểm toán bảo mật của các công ty nổi tiếng bao gồm Trail of Bits và Cyfrin.
Tuy nhiên, chưa rõ liệu lỗ hổng bị khai thác có được xác định trong những phân tích đó hay đã được giới thiệu thông qua các thay đổi mã sau đó - một rủi ro phổ biến trong các giao thức DeFi đang phát triển nhanh chóng nơi đội ngũ thường xuyên cập nhật hợp đồng thông minh để thêm tính năng hoặc tối ưu hóa hiệu suất.
Chi phí phục hồi cấm cản
Trong thông báo đóng cửa, Bunni đã giải thích rằng việc khởi động lại một cách an toàn sẽ yêu cầu đầu tư đáng kể vào kiểm toán bảo mật toàn diện, cơ sở hạ tầng giám sát liên tục và hàng tháng công tác phát triển kinh doanh để xây dựng lại niềm tin người dùng và khôi phục thanh khoản.
"Vụ khai thác gần đây đã buộc sự phát triển của Bunni phải dừng lại, và để khởi chạy lại an toàn, chúng tôi cần phải trả hàng trăm, thậm chí hàng triệu đô la trong chi phí kiểm toán & giám sát - đòi hỏi số vốn mà chúng tôi không có," đội ngũ cho biết trong bài đăng X của họ. "Thật sự đau lòng khi chúng tôi thông báo việc đóng cửa Bunni."
Theo báo cáo hậu khám của Bunni, các tài sản bị đánh cắp đã được rửa qua Tornado Cash, làm phức tạp thêm nỗ lực phục hồi. Đội ngũ đã đề nghị một khoản tiền thưởng 10% cho kẻ tấn công để trả lại các tài sản còn lại trong khi tiếp tục hợp tác với các cơ quan thực thi pháp luật.
Rút tiền của người dùng và phân phối kho bạc
Dù đã đóng cửa, Bunni xác nhận rằng người dùng vẫn có thể rút tài sản còn lại của mình thông qua trang web chính thức cho đến khi có thông báo mới. Dự án lên kế hoạch phân phối số dư kho bạc còn lại cho các chủ sở hữu token BUNNI, LIT, và veBUNNI dựa trên một bức ảnh chụp sẽ loại trừ các thành viên đội ngũ - bảo đảm rằng các thành viên cộng đồng thay vì nội bộ nhận được bất kỳ giá trị còn lại nào.
Trong một động thái cuối cùng đối với hệ sinh thái DeFi rộng lớn hơn, Bunni đã cấp phép lại các hợp đồng thông minh V2 từ Giấy phép Nguồn Doanh Nghiệp hạn chế sang giấy phép mã nguồn mở MIT.
Quyết định này giúp các cải tiến của nền tảng - bao gồm Chức năng Phân phối Thanh khoản, phí tăng cao, và cơ chế cân bằng tự động - được tự do cho các nhà phát triển khác tích hợp và phát triển.
Đóng cửa DeFi thứ hai trong 48 giờ
Việc đóng cửa của Bunni xảy ra chỉ một ngày sau khi một dự án đáng kể khác rời khỏi ngành công nghiệp tiền điện tử. Kadena Foundation đã thông báo vào thứ Ba rằng họ sẽ ngay lập tức ngừng tất cả các hoạt động kinh doanh và ngừng duy trì mạng Blockchain Kadena, nêu lên các điều kiện thị trường không thuận lợi khiến việc phát triển tiếp tục không bền vững.
Được thành lập bởi các kỹ sư blockchain của JPMorgan là Stuart Popejoy và Will Martino, Kadena được ra mắt vào năm 2019 với tư cách là một giải pháp thay thế proof-of-work cho Ethereum, hứa hẹn khả năng mở rộng cấp độ doanh nghiệp thông qua một kiến trúc đa chuỗi "tết bím". Vào đỉnh cao vào tháng 11 năm 2021, KDA được giao dịch trên $27 và dự án đã đạt được giá trị hơn 4 tỷ đô la.
Tuy nhiên, token KDA gốc đã giảm hơn 60% - từ khoảng $0.23 xuống dưới $0.10 - trong vòng 90 phút sau thông báo đóng cửa, xoá sạch gần 268 triệu đô la trong vốn hóa thị trường. Hiện tại, token đã giảm hơn 99% so với đỉnh cao hết mức, giao dịch gần $0.085 tại thời điểm viết.
Mặc dù blockchain Kadena sẽ tiếp tục hoạt động thông qua các thợ mỏ độc lập và các nhà phát triển cộng đồng - với 566 triệu KDA còn lại phân bổ để thưởng khai thác cho đến năm 2139 - mất đi đội ngũ phát triển cốt lõi thực chất để lại cho mạng một tương lai không chắc chắn.
Khủng hoảng bảo mật rộng lớn hơn
Các vụ đóng cửa liên tiếp nhấn mạnh áp lực ngày càng lớn đối với các dự án blockchain nhỏ hơn trong điều kiện thị trường thách thức và các mối đe dọa bảo mật không nguôi. Cuộc tấn công vào Bunni nằm trong một mô hình đáng ngại của các cuộc tấn công vào DeFi, với tháng 8 năm 2025 chứng kiến hơn 163 triệu đô la bị đánh cắp qua 16 vụ việc riêng lẻ - tăng 15% so với tháng trước.
Ngành công nghiệp tiền điện tử đã mất hơn 300 triệu đô la vào các vụ tấn công và lừa đảo trong hai tháng qua, với lĩnh vực DeFi chịu thiệt hại không tỷ lệ. Các chuyên gia bảo mật lưu ý rằng các kẻ tấn công ngày càng tinh vi, thường xuyên nhắm vào các bộ giao thức mới với các cơ chế tùy chỉnh phức tạp tạo ra các bề mặt tấn công vắng mặt từ các triển khai tiêu chuẩn đã được thử nghiệm qua thời gian.
Đối với hệ sinh thái DeFi rộng lớn hơn, những vụ đóng cửa này làm nhớ lại một sự nhắc nhở nghiêm túc rằng đổi mới kỹ thuật một mình không thể đảm bảo sự tồn tại. Các dự án phải cân bằng phát triển tính năng tham vọng với các thực tiễn an ninh nghiêm ngặt, duy trì dự trữ tài chính đầy đủ cho các cuộc khủng hoảng không mong đợi, và điều hướng một cảnh quan cạnh tranh ngày càng tăng nơi sự tin tưởng của người dùng - khi đã mất - cực kỳ khó để xây dựng lại.