BunniXYZ Ethereum 取引所で一連の不正な資金流出が発生しました。オンチェーン調査員はこの出来事をハッキングと特定し、損失額は約230万ドルに上るとしています。
BunniXYZはEthereumの分散型取引所であり、そのスマートコントラクトの一つが悪用されました。ハッカーは主にステーブルコインを移動させ、合計で230万ドルの損失となりました。
取引履歴に基づくと、ハッカーはUSDTおよびUSDCのボールトを攻撃し、その後Ethereumエコシステムを通じてトークンを移動させ、最終的にはETHとステーブルコインの混合を手に入れました。最初の数分以内に、 BunniXYZ プロジェクトは自社アプリへの攻撃を認識し、すべてのスマートコントラクトを閉鎖しました。
ハッキングの直後、攻撃者は他のDeFiプロトコルを通じて資金をETHにスワップし続けました。
攻撃後1時間以内は、ハッカーはDeFiプロトコルを通じた最初の移動を除き、まだ資金を移動またはミックスしていませんでした。BunniXYZへの攻撃は、1000万ドル未満を盗む比較的小規模なハッキングの最新の一例です。
比較的小規模な攻撃であっても、プロトコルの評判を損ない、新しいDeFiハブを壊滅させることがよくあります。最近のスマートコントラクトの悪用例の一つはBetterBankに対するもので、Cryptopolitanが報じています。このような攻撃は、内部関係者による犯行や、DPRKハッカーによるWeb3への悪意あるコードの注入への疑念を高めています。
BunniXYZがピーク時に攻撃される
BunniXYZはEthereumとUnichainの両方を利用するDEXです。この新しい市場は、Uniswap V4テクノロジーも活用し、より複雑な取引ルールを持つ特別なボールトや市場を作成しています。
他の市場と同様に、BunniXYZはローカルでロックされた価値がピークに達した直後に攻撃されました。8月末時点で、取引所のボールトには最大6000万ドルが保管されていました。この市場は2月にローンチされて以来、まだ比較的小規模であり、新しいDeFiプロトコルの中で自らの地位を確立している段階でした。
8月はこのDEXにとっても最も成功した月の一つで、取引高は10億ドルを超えました。取引所は特に rehypothecation のための流動性構築に注力し、市場下落時の清算を回避していました。DEXの流動性はEuler Protocolとも連携し、パッシブインカムを生み出していました。
BunniXYZはUniswap V4の拡大した取引高の恩恵を受け、プロトコルはEthereum上で3億9300万ドル、Unichain上で2億9800万ドルをボールトに集めました。
ハッカーはBunniXYZの流動性計算を悪用
ハッキング後の分析により、BunniXYZは特定の流動性再計算コントラクトに脆弱性があることが判明しました。このDEXはUniswap V4テクノロジーを利用した流動性フックです。しかし、Uniswapの流動性計算を使う代わりに、BunniXYZはLiquidity Distribution Functionを再計算しています。
攻撃者はLiquidity Distribution Functionが特定のサイズの取引で破綻することを発見しました。これは、スマートコントラクトが実際に保有しているよりも多くのトークンを流動性プールから支払うことになり、最終的に取引所を枯渇させることを意味します。攻撃者は複数回の取引を繰り返して最終的に230万ドルを蓄積し、それらをETHにスワップしました。その後、ETHをAaveに預け、ウォレットの最終残高に基づき、AethUSDCで133万ドル、AethUSDTで100万ドルを保有しています。
BunniXYZはこれまでにも監査を受けていますが、LDFバグは取引所の後のバージョンで発生した可能性があります。最も考えられる原因は精度バグであり、ハッカーは不正な再計算に基づいてより大きな残高を蓄積するために複数回の取引を行う必要がありました。
この記事を読んでいるあなたは、すでに一歩先を行っています。ぜひ私たちのニュースレターでそのまま先を行きましょう。
