Hajautettu rahoitusprotokolla Bunni hyökkäyksen kohteena
Hajautettu rahoitusprotokolla Bunni kärsi 8,4 miljoonan dollarin hyökkäyksestä 2. syyskuuta, kun kehittynyt hyökkääjä käytti flash-lainaa manipuloidakseen likviditeettialtaita sekä Ethereumissa että Unichainissa. Tapahtuma, joka kohdistui weETH/ETH– ja USDC/USDT-altaisiin, on liitetty virheeseen Bunnin älysopimuksen logiikassa, joka liittyy pyöristysvirheisiin.
Hyökkäyksen yksityiskohdat
Bunni syyttää pyöristysbugia 2,3 miljoonan dollarin hyökkäyksestä ja tarjoaa 10 % palkkion. Bunnin jälkikäteisanalyysin mukaan hyökkäys toteutettiin kolmessa vaiheessa:
- Hyökkääjä lainasi ensin 3 miljoonaa USDT:ta flash-lainan avulla ja käytti sitä manipuloidakseen USDC/USDT-altaan spot-hintaa äärimmäisiin tasoihin.
- Kun altaan aktiivinen USDC-saldo laski vain 28 wei:hin, hyökkääjä aloitti 44 pientä nostoa.
- Tämä käytti hyväkseen pyöristysvirhettä Bunnin koodissa, mikä laski altaan likviditeettiä yli 84 % verrattuna normaalitilanteeseen.
Kun likviditeetti oli keinotekoisesti tukahdutettu, hyökkääjä suoritti sandwich-hyökkäyksen, toteuttaen suuria vaihtoja, jotka nostivat hinnat vääristyneille arvoille. Kääntämällä aikaisemman likviditeetin vähentämisen, he saivat voittoja ennen kuin maksoivat flash-lainan takaisin. Yhteensä hyökkäys tuotti hyökkääjälle noin 1,33 miljoonaa USDC:ta ja 1 miljoona USDT:ta.
Haavoittuvuuden vahvistaminen ja toimenpiteet
Lohkoketjuturvallisuusyritys Cyfrin vahvisti, että haavoittuvuus johtui siitä, miten Bunnin älysopimus pyöristi saldoja nostojen aikana.
Vaikka mekanismi oli suunniteltu suosimaan altaan turvallisuutta aliarvioimalla likviditeettiä, toistuvat pienet nostot loivat olosuhteet, jotka mahdollistivat pyöristyslogiikan hyödyntämisen suuressa mittakaavassa. Bunni huomautti, että sen suurin allas, Unichainin USDC/USD₮0-pari, säästyi riittämättömän flash-lainalikviditeetin vuoksi hyökkäyksen toteuttamiseksi.
Varojen jäljittäminen ja palautusyritykset
Bunni vahvisti, että varastetut varat on nyt jaettu kahteen lompakkoon, jotka liittyvät hyökkääjään. Tutkijat jäljittivät varojen alkuperää, mutta kohtasivat umpikujaan löydettyään, että lompakot oli rahoitettu Tornado Cashin kautta, joka on sanktioitu yksityisyystyökalu. Tiimi on ottanut suoraan yhteyttä hyökkääjään ketjussa, tarjoten 10 % palkkion jäljellä olevien varojen palauttamisesta.
Toimintojen keskeyttäminen ja tulevaisuuden suunnitelmat
Välittömästi tapahtuman jälkeen Bunni keskeytti kaikki toiminnot, mutta on sittemmin mahdollistanut nostot, jotta likviditeettitoimittajat voivat palauttaa talletuksensa. Talletukset ja vaihdot pysyvät jäädytettyinä, kun kehittäjät työskentelevät korjauksen parissa. Affected-toiminnon pyöristyssuunnan muuttaminen neutraloi nykyisen hyökkäysvektorin, vaikka tiimi myönsi, että laajempaa testausta ja turvallisuuden parannuksia tarvitaan ennen täydellistä uudelleenavaamista.
Kryptoturvallisuuden tilanne elokuussa
Elokuu merkitsee kolmanneksi huonointa kuukautta kryptoturvallisuudelle, kun 163 miljoonaa dollaria menetettiin hakkereille ja huijauksille. Bunni, joka aikaisemmin ylpeili yli 80 miljoonan dollarin kokonaisarvolla lukittuna (TVL) BNB Chainissa, pitää nyt vain hieman yli 50 miljoonaa dollaria hyökkäyksen jälkeen.
Tapahtuma lisää hyökkäysten ja huijausten sarjaa, joka iskee sektoria. Vain päivää aikaisemmin Venus Protocolin käyttäjä menetti 13,5 miljoonaa dollaria phishing-huijauksessa. Lohkoketjuturvallisuusyritys PeckShieldin mukaan uhri hyväksyi tietämättään haitallisen tapahtuman, myöntäen token-oikeudet, jotka mahdollistivat varkauden.
Yhteenveto
Vaikka alkuperäiset raportit viittasivat 27 miljoonan dollarin menetykseen, myöhempi analyysi osoitti, että velkapaikat oli virheellisesti sisällytetty lukuun. Venus korosti, että sen älysopimukset pysyivät turvallisina ja vahvisti, että vain käyttäjä oli vaarantunut. Tapahtuma seurasi kryptoon liittyvien hyökkäysten lisääntymistä elokuussa, ja PeckShieldin tiedot osoittavat, että 163 miljoonaa dollaria varastettiin 16 merkittävässä hyökkäyksessä, mikä on nousua 142 miljoonasta dollarista heinäkuussa. Menetykset tekivät elokuusta kolmanneksi huonoimman kuukauden kryptoturvallisuudelle vuonna 2025.
