شهدت منصة BunniXYZ على بلوكتشين الإيثريوم سلسلة من التدفقات الخارجية غير المصرح بها. وقد حدد المحققون على السلسلة الحدث على أنه اختراق، مع خسائر تقدر بنحو 2.3 مليون دولار.
تم استغلال BunniXYZ، وهي منصة تداول لامركزية على الإيثريوم، من خلال أحد عقودها الذكية. قام المخترق بنقل العملات المستقرة بشكل أساسي، بإجمالي خسارة قدرها 2.3 مليون دولار.
استنادًا إلى سجل المعاملات، هاجم المخترق خزائن USDT وUSDC، ثم نقل التوكنات عبر نظام الإيثريوم البيئي، لينتهي به الأمر بمزيج من ETH والعملات المستقرة. في الدقائق الأولى، أدرك مشروع BunniXYZ الهجوم ضد تطبيقه، وقام بإغلاق جميع العقود الذكية.
بعد الاختراق بوقت قصير، واصل المستغل تبادل الأموال إلى ETH من خلال بروتوكولات DeFi الأخرى.
في الساعة التي تلت الهجوم، لم يقم المخترق بعد بنقل أو خلط الأموال، باستثناء التحركات الأولية من خلال بروتوكولات DeFi. يعد الهجوم ضد BunniXYZ جزءًا من أحدث سلسلة من الاختراقات الصغيرة نسبيًا، التي تسرق أقل من 10 ملايين دولار.
حتى الهجمات الصغيرة نسبيًا غالبًا ما تكلف سمعة البروتوكولات وتدمر مراكز DeFi الجديدة. كان أحد أحدث استغلالات العقود الذكية ضد BetterBank، كما أفادت Cryptopolitan. تثير مثل هذه الهجمات شكوكًا حول وجود أعمال داخلية، أو رمز خبيث تم حقنه في Web3 من قبل قراصنة كوريا الشمالية.
تم مهاجمة BunniXYZ في الذروة
BunniXYZ هي منصة تداول لامركزية تستخدم كلاً من الإيثريوم وUnichain. كما تستخدم السوق الجديدة تقنية Uniswap V4 لإنشاء خزائن وأسواق خاصة بقواعد تداول أكثر تعقيدًا.
كما هو الحال مع الأسواق الأخرى، تمت مهاجمة BunniXYZ بعد وقت قصير من وصولها إلى ذروة محلية للقيمة المقفلة. في نهاية أغسطس، حملت المنصة ما يصل إلى 60 مليون دولار في خزائنها. كانت السوق لا تزال صغيرة نسبيًا، بعد إطلاقها في فبراير وإيجاد مكانها بين بروتوكولات DeFi الجديدة.
كان أغسطس أيضًا أحد أنجح الشهور للمنصة، بحجم تداول تجاوز 1 مليار دولار. كانت المنصة تبني السيولة خصيصًا لـ إعادة الرهن، مع تجنب التصفيات خلال تراجعات السوق. كما تم ربط سيولة المنصة ببروتوكول Euler للدخل السلبي.
استفادت BunniXYZ من أحجام التداول الموسعة لـ Uniswap V4، حيث جذب البروتوكول أكثر من 393 مليون دولار إلى خزائنه على الإيثريوم و298 مليون دولار على Unichain.
استغل المخترق حساب السيولة في BunniXYZ
أظهر تحليل ما بعد الاختراق أن BunniXYZ كانت عرضة للخطر بسبب عقد إعادة حساب السيولة الخاص بها. المنصة هي خطاف سيولة، يستخدم تقنية Uniswap V4. ومع ذلك، بدلاً من استخدام حساب السيولة الخاص بـ Uniswap، تقوم BunniXYZ بإعادة حساب وظيفة توزيع السيولة.
المستغل اكتشف أن وظيفة توزيع السيولة يمكن أن تنكسر من خلال صفقات بأحجام محددة. هذا يعني أن العقد الذكي سيدفع توكنات أكثر من مجمع السيولة مما هو مملوك في الواقع، مما يؤدي في النهاية إلى استنزاف المنصة. كان على المهاجم تكرار معاملات متعددة لتراكم 2.3 مليون دولار في النهاية، ثم استبدالها بـ ETH. ثم انتهى به الأمر بإيداع ETH في Aave، محتفظًا بـ 1.33 مليون دولار في AethUSDC ومليون دولار في AethUSDT بناءً على الرصيد النهائي للمحفظة.
خضعت BunniXYZ لعمليات تدقيق سابقة، لكن خلل LDF ربما وصل مع إصدار لاحق من المنصة. السبب الأكثر احتمالاً هو خلل في الدقة، مما تطلب من المخترق إجراء معاملات متعددة لتراكم رصيد أكبر بناءً على إعادة الحساب المعيبة.
إذا كنت تقرأ هذا، فأنت متقدم بالفعل. ابق هناك مع نشرتنا الإخبارية.
المصدر: https://www.cryptopolitan.com/ethereum-exchange-bunnixyz-drained-2-3m/
