A exchange Ethereum BunniXYZ sofreu uma série de fluxos de saída não autorizados. Investigadores on-chain identificaram o evento como um hack, com perdas de cerca de $2,3M.
BunniXYZ, uma exchange descentralizada Ethereum, foi explorada através de um dos seus contratos inteligentes. O hacker moveu principalmente stablecoins, com uma perda total de $2,3M.
Com base no histórico de transações, o hacker atacou os cofres de USDT e USDC, depois moveu os tokens através do ecossistema Ethereum, acabando com uma mistura de ETH e stablecoins. Nos primeiros minutos, o projeto BunniXYZ reconheceu o ataque contra a sua aplicação, fechando todos os contratos inteligentes.
Logo após o hack, o explorador continuou a trocar fundos para ETH através de outros protocolos DeFi.
Na hora após o ataque, o hacker ainda não tinha movido ou misturado os fundos, exceto pelos movimentos iniciais através dos protocolos DeFi. O ataque contra BunniXYZ faz parte da mais recente série de hacks relativamente menores, roubando menos de $10M.
Mesmo os ataques relativamente pequenos frequentemente custam a reputação dos protocolos e destroem novos centros DeFi. Uma das mais recentes explorações de contratos inteligentes foi contra o BetterBank, como relatou o Cryptopolitan. Tais ataques levantam suspeitas de trabalhos internos, ou código malicioso injetado na Web3 por hackers da RPDC.
BunniXYZ atacado no pico
BunniXYZ é uma DEX que utiliza tanto Ethereum como Unichain. O novo mercado também usa a tecnologia Uniswap V4 para criar cofres especiais e mercados com regras de negociação mais complexas.
Como com outros mercados, BunniXYZ foi atacado logo após atingir um pico local de valor bloqueado. No final de agosto, a exchange carregava até $60M nos seus cofres. O mercado ainda era relativamente pequeno, após o lançamento em fevereiro e encontrar o seu lugar entre os novos protocolos DeFi.
Agosto também foi um dos meses mais bem-sucedidos para a DEX, com mais de $1B em volumes. A exchange estava especificamente a construir liquidez para rehipotecação, enquanto evitava liquidações durante quedas do mercado. A liquidez da DEX também estava ligada ao Protocolo Euler para rendimento passivo.
BunniXYZ aproveitou os volumes expandidos do Uniswap V4, à medida que o protocolo atraiu mais de $393M para os seus cofres no Ethereum e $298M no Unichain.
Hacker explorou o cálculo de liquidez do BunniXYZ
A análise pós-hack mostrou que o BunniXYZ estava vulnerável devido ao seu contrato específico de recálculo de liquidez. A DEX é um hook de liquidez, usando a tecnologia Uniswap V4. No entanto, em vez de usar o cálculo de liquidez do Uniswap, o BunniXYZ recalcula a Função de Distribuição de Liquidez.
O explorador descobriu que a Função de Distribuição de Liquidez poderia quebrar a partir de negociações de tamanhos específicos. Isto significava que o contrato inteligente pagaria mais tokens do pool de liquidez do que possuía na realidade, acabando por drenar a exchange. O atacante teve que repetir múltiplas transações para finalmente acumular $2,3M, depois trocá-los por ETH. Ele então acabou depositando o ETH na Aave, mantendo $1,33M em AethUSDC e $1M em AethUSDT com base no saldo final da carteira.
BunniXYZ passou por auditorias anteriores, mas o bug LDF pode ter chegado com uma versão posterior da exchange. A causa mais provável é um bug de precisão, que exigiu que o hacker realizasse múltiplas transações para acumular um saldo maior com base no recálculo defeituoso.
Se está a ler isto, já está à frente. Fique por aí com a nossa newsletter.
Fonte: https://www.cryptopolitan.com/ethereum-exchange-bunnixyz-drained-2-3m/
