Bunni DEX遭到攻击：约240万美元的稳定币在以太坊上被盗，合约p...

以太坊上的LP资金遭遇了一次新的攻击：专注于流动性管理的Bunni协议在一次异常提款后暂时暂停了合同，提款金额估计在230万到240万美元之间——这一消息由The Block报道，并与OpenZeppelin安全报告中分析的风险一致。初步分析表明，这次攻击可能利用了流动性发放功能中的一个漏洞，错误地改变了LP份额。

根据我们链上分析团队截至2025年9月2日收集的数据，可疑交易显示出重复模式和分散转账到多个地址，这与旨在利用再平衡的攻击一致。我们在公共浏览器上的交叉检查显示，USDC和USDT的提取分别约为133万美元和104万美元。行业分析师指出，与再平衡逻辑和预言机相关的漏洞是近期DeFi事件的一个反复出现的原因。

简而言之：我们目前知道关于Bunni DEX黑客攻击的情况

谁：Bunni，以太坊上的流动性管理协议。

什么：从智能合约中抽取资金和暂停运营作为预防性的安全措施。

鸽子：以太坊网络，具有链上可追踪的移动。

何时：在2025年9月2日之前的几天内检测到事件；调查仍在进行中。

如何：通过流动性再平衡机制的操控，导致了LP份额的错误计算。

事件时间线

基本序列

检测稳定币池中的异常移动，特别是USDC和USDT。

来自团队的官方沟通，事件确认，以及暂停合约以控制损失。

初步链上分析：估计损失在约230万到240万美元之间，伴随重复提款和调节金额。

对流动性发放功能和再平衡机制的技术检查的启动。

链上详情

受影响的资产：稳定币 USDC ( 约 133 万美元 ) 和 USDT ( 约 104 万美元 )，总损失估计汇总在一起。

模式：一系列针对性的交易，使用经过调整的金额，迫使流动性提供者进行不利的再平衡。

地址和哈希：经过各种区块链分析公司检查，尽管对区块浏览器的直接引用尚未公开发布。

包括The Block和BitcoinEthereumNews在内的多种媒体报道了这些因素，突出了在合同暂停前几小时内可疑转账的重复模式。

脆弱性机制

流动性发放是如何工作的

Bunni采用了一种流动性发放功能，允许资金在特定价格区间进行分配，通过交易引起的再平衡来优化LP回报。其目标是限制资金惯性；然而，如果再平衡逻辑不够稳健，这种方法可能会打开新的攻击面。

系统卡住的地方

通过有针对性和重复的交易操作操控曲线。

重新平衡后，导致股份不正确的流动性提供者（LP）头寸计算。

逐步抽取资金，旨在避开自动防御触发器的激活。

本质上，一个不具弹性的再平衡逻辑使得攻击者能够从流动性提供者中提取价值，而不会立即触发警报机制。一个有趣的方面是金额的模块化，表明了一种精细调整的策略。

影响与数字

预计损失：大约230万至240万美元。

涉及的代币：USDC 和 USDT。

运营状态：合约已暂停，智能功能目前已停止。

关键点：LP股份的计算以及在重新平衡过程中的流动性管理。

官方反应及背景

Bunni团队已经宣布暂停合约作为紧急安全措施，并澄清正在进行事后分析以识别和修复漏洞。目前，没有提供任何直接引用或带有可验证时间戳的官方声明；调查仍在进行中，优先事项仍然是保护合约和剩余流动性。

缓解措施

正在进行再平衡功能和流动性提供者会计机制的审计，包括在对抗场景中的测试。

触发敏感再平衡的交易大小限制。

实施断路器并实时监控流动性池报价中的滑点和异常变化。

对关键更改使用时间锁，并采用多重签名操作进行管理功能.

建立应急基金或保险覆盖，以减轻对用户的影响。

这些对策在去中心化金融风险管理中至关重要。

流动性协议操作指南

在正式发布之前进行压力测试和经济攻击模拟的执行。

对影响发放曲线的函数实施速率限制。

主动监控警报指标，如滑点、流动性池份额变化以及意外流入钱包的资金。

定期更新事件响应程序和演练，以验证其有效性。

使用可靠的预言机和引入数学保护措施以防止计算错误。

用户和开发者的下一步

用户：监控官方协议更新，并检查链上日志以了解受影响池的任何变化。

开发者：完成技术事后分析，发布临时补丁，并计划独立审计，重点关注流动性管理功能和流动性提供者计算。

监控内容

在像Etherscan或Blockscout这样的区块链浏览器上确认交易哈希和地址，以实现完整的追踪。

关于补丁发布的更新以及合同重新激活的预期时间表。

区块链分析公司的取证报告和公共审计结果。

任何赏金计划或协议用于追回挪用的资金。

结论

对Bunni的攻击表明，当再平衡机制不够强健时，流动性发放的创新会引入新的攻击面

曲线操控与流动性提供者计算中的错误相结合，使得大约230万到240万美元的稳定币被抽走。

必须说，现在的优先事项是完成一个透明的事件后分析，纠正流动性管理逻辑，并引入更严格的防御控制。

数字和地址 (摘要)

预计金额：大约 2.3–2.4 百万美元。

代币：USDC (大约 1.33M) 和 USDT (大约 1.04M)。

状态：合同暂停，调查正在进行中。