BunniXYZ交易所遭遇230万美元智能合约漏洞
以太坊去中心化交易所BunniXYZ近日遭遇智能合约漏洞攻击,造成约230万美元资产损失。链上分析显示,攻击者主要转移了稳定币资产。
攻击事件时间线
根据交易记录,黑客首先攻击了平台的USDT和USDC资金池,随后通过以太坊生态内的多笔交易进行资产转移,最终将资金兑换为ETH与稳定币的组合。攻击发生后数分钟内,BunniXYZ团队立即关闭了所有智能合约。
安全公司监测到,攻击者得手后持续通过其他DeFi协议将赃款兑换为ETH。值得注意的是,在最初一小时内,除通过DeFi协议进行的初始转移外,黑客并未对资金进行混币操作。
项目背景与损失影响
BunniXYZ是采用以太坊和Unichain双链架构的DEX交易所,运用Uniswap V4技术创建具备复杂交易规则的特殊资金池。该平台在今年2月上线后发展迅速,8月底时锁仓量曾达到6000万美元峰值,当月交易量突破10亿美元。
此次攻击发生在平台发展关键期,虽然损失金额在近期DeFi攻击事件中相对较小,但这类安全事件往往会对新兴协议声誉造成严重影响。此前BetterBank等DeFi项目也遭遇过类似智能合约漏洞攻击。
漏洞技术分析
事后调查显示,攻击者利用了BunniXYZ特有的流动性重计算合约漏洞。该平台作为Uniswap V4的流动性钩子,未直接采用Uniswap的流动性计算方式,而是自行开发了流动性分配函数(LDF)。
黑客发现特定规模的交易会导致LDF计算异常,使得智能合约从资金池中超额支付代币。攻击者通过多次重复交易累计获利230万美元,最终将资产兑换为ETH并存入Aave协议。钱包余额显示,攻击者最终持有价值133万美元的AethUSDC和100万美元的AethUSDT。
虽然BunniXYZ此前接受过安全审计,但LDF漏洞可能存在于后续版本更新中。初步判断该漏洞属于精度计算错误类型,需要攻击者执行多次交易才能基于错误计算积累可观余额。