A plataforma de negociação descentralizada Bunni divulgou os resultados de uma investigação sobre um importante incidente de segurança — os atacantes exploraram uma falha de arredondamento em contratos inteligentes, lançando com sucesso um ataque de empréstimo flash, resultando no roubo de 8,4 milhões de dólares. Os fundos transferidos já foram misturados através do Tornado Cash, aumentando a dificuldade de rastreamento. A Bunni apresentou ao atacante um plano de “recompensa de chapeu branco”, oferecendo devolver 10% dos fundos em troca do retorno do restante.
Visão geral do evento: dois grandes fundos afetados
De acordo com o relatório de análise pós-evento da Bunni, esta vulnerabilidade afetou:
Pool de negociação weETH/ETH na Unichain
pool de negociação USDC/USDT na mainnet Ethereum
A vulnerabilidade origina-se de um tratamento inadequado da direção do arredondamento da atualização do saldo ocioso do fundo na função BunniHubLogic::withdraw(). Operação isolada.
A lógica era segura, mas após várias operações compostas, ofereceu uma oportunidade para os atacantes.
análise da técnica de ataque: 44 retiradas pequenas esgotaram a liquidez
O relatório Bunni restaurou o processo do ataque:
Empréstimos Flash: o atacante obteve 3 milhões de dólares USDT através de Empréstimos Flash.
Manipulação de preços: várias transações de swap comprimiram a liquidez de USDC para apenas 28 wei.
Utilização de erros de arredondamento: 44 saques pequenos consecutivos, reduzindo ainda mais o saldo de USDC, o que resulta numa queda significativa da liquidez do fundo.
Arbitragem reversa: no final, elevar o preço através de grandes swaps e, em seguida, realizar transações reversas com o preço manipulado, obtendo lucros enormes.
Causa da vulnerabilidade: risco implícito na direção do arredondamento
Bunni apontou que o problema está na forma como a direção de arredondamento do saldo ocioso é tratada durante os saques. Embora um único cálculo não apresente erro, após múltiplas operações acumuladas, o erro é amplificado, criando assim uma superfície de ataque utilizável.
Bunni disse: “Todas as direções de arredondamento são seguras em situações individuais, mas podem provocar vulnerabilidades ao combinar múltiplas operações.”
Medidas e estado da plataforma
Correção de vulnerabilidades: lógica de arredondamento atualizada para evitar ataques semelhantes.
Verificação de segurança: a empresa de segurança de blockchain Cyfrin realiza testes de bifurcação para confirmar a segurança após a correção.
Recuperação de funcionalidades: todas as funções de levantamento de redes foram reabertas, mas as funções de depósito, troca, etc., continuam suspensas.
Rastreamento e Cooperação: Colaborar com as autoridades e as plataformas centralizadas para tentar congelar o fluxo de fundos relacionados.
Rastreamento de fundos e recompensa
Bunni já bloqueou dois endereços de carteira relacionados ao ataque, mas como os fundos já foram misturados através do Tornado Cash, a identidade do atacante é difícil de confirmar. A plataforma fez uma proposta de 10% de recompensa de white hat ao atacante em troca da devolução dos fundos restantes.
Atualização da estrutura de defesa e teste futura
Bunni afirmou que irá atualizar completamente a estrutura de testes, reforçando a simulação de cenários de operações complexas, para evitar que vulnerabilidades semelhantes ocorram novamente. Embora a correção da direção de arredondamento possa impedir o ataque atual, a equipe ainda está avaliando se isso pode introduzir novos riscos potenciais.
conclusão
Este evento destaca que pequenos erros na lógica matemática dos contratos inteligentes também podem resultar em grandes perdas. Para projetos DeFi, a auditoria de segurança não deve apenas verificar a correção de uma única função, mas também prestar atenção às interações de múltiplas operações. A rápida resposta e a transparência da Bunni forneceram um valioso caso de segurança para a indústria, mas também lembram todos os desenvolvedores de protocolos - no mundo das finanças descentralizadas, os detalhes determinam a vida ou a morte.
Aviso: As informações nesta página podem ser provenientes de terceiros e não representam as opiniões ou pontos de vista da Gate. O conteúdo exibido nesta página é apenas para referência e não constitui aconselhamento financeiro, de investimento ou jurídico. A Gate não garante a exatidão ou integridade das informações e não será responsável por quaisquer perdas decorrentes do uso dessas informações. Os investimentos em ativos virtuais apresentam altos riscos e estão sujeitos a uma volatilidade de preços significativa. Você pode perder todo o capital investido. Por favor, compreenda completamente os riscos envolvidos e tome decisões prudentes com base em sua própria situação financeira e tolerância ao risco. Para mais detalhes, consulte o
Aviso Legal.
