تعرضت صناديق LP على Ethereum لهجوم جديد: قام البروتوكول Bunni المتخصص في إدارة السيولة بإيقاف العقود مؤقتًا بعد سحب غير طبيعي يقدر بحوالي 2.3 إلى 2.4 مليون دولار – كما ورد في The Block ويتماشى مع المخاطر التي تم تحليلها في تقرير أمان OpenZeppelin. تشير التحليلات الأولية إلى أن الاستغلال قد استفاد من ثغرة في وظيفة توزيع السيولة، مما أدى إلى تغيير غير صحيح في حصص LP.
وفقًا للبيانات التي جمعها فريقنا لتحليل السلسلة، مع تحديث حتى 2 سبتمبر 2025، تُظهر المعاملات المشبوهة أنماطًا متكررة وتحويلات مجزأة إلى عدة عناوين، تتماشى مع هجوم يستهدف استغلال إعادة التوازن. تشير عمليات التحقق المتقاطعة لدينا على المستكشفات العامة إلى عمليات سحب محسوبة في USDC وUSDT بحوالي 1.33 مليون دولار و1.04 مليون دولار على التوالي. يلاحظ محللو القطاع أن الثغرات المرتبطة بمنطق إعادة التوازن والأوراكل هي سبب متكرر في الحوادث الأخيرة في DeFi.
Summary
باختصار: ما نعرفه حتى الآن عن اختراق DEX Bunni
- من: Bunni، بروتوكول إدارة السيولة على Ethereum.
- الحدث: سحب الأموال من العقود الذكية وتعليق العمليات كإجراء أمني وقائي.
- Dove: شبكة Ethereum، مع تحركات يمكن تتبعها على السلسلة.
- متى: تم اكتشاف الحدث في الأيام السابقة لـ 2 سبتمبر 2025؛ التحقيقات لا تزال جارية.
- كيف: من خلال التلاعب بآليات إعادة توازن السيولة، مما أدى إلى حسابات خاطئة في حصص LP.
الجدول الزمني للأحداث
التسلسل الأساسي
- رصد تحركات غير عادية في المجمعات مع العملات المستقرة، خاصة USDC وUSDT.
- التواصل الرسمي من الفريق، تأكيد الحادثة وتعليق العقود لاحتواء الأضرار.
- تحليل on-chain الأولي: الخسائر المقدرة تتراوح بين حوالي 2.3 و2.4 مليون دولار، مع عمليات سحب متكررة ومبالغ معدلة.
- بدء عمليات التحقق الفنية على وظيفة توزيع السيولة وآلية إعادة التوازن.
تفاصيل على السلسلة
- الأصول المتأثرة: العملة المستقرة USDC (حوالي 1.33 مليون دولار) وUSDT (حوالي 1.04 مليون دولار)، والتي بشكل عام تتقارب مع تقدير الخسائر الإجمالية.
- النمط: سلسلة من العمليات المستهدفة بمبالغ محسوبة لإجبار إعادة توازن غير مواتٍ لـ LP.
- العناوين و hash: تم فحصها من قبل عدة شركات تحليل blockchain، على الرغم من أن الإشارات المباشرة إلى المستكشفين لم تُنشر علنًا بعد.
وسائل إعلام مختلفة، بما في ذلك The Block و BitcoinEthereumNews، قد أبلغت عن هذه العناصر، مسلطة الضوء على أنماط متكررة من التحويلات المشبوهة في الساعات التي سبقت تعليق العقود.
ميكانيكا الثغرة
كيف تعمل توزيع السيولة
يستخدم Bunni وظيفة توزيع السيولة التي تتيح تخصيص رؤوس الأموال في نطاقات سعرية محددة، مما يحسن عوائد LP من خلال إعادة التوازن الناتجة عن المعاملات. الهدف هو الحد من الجمود في الأموال؛ ومع ذلك، يمكن أن يفتح هذا النهج أسطح هجوم جديدة إذا لم تكن منطق إعادة التوازن قوية بما فيه الكفاية.
أين تعطل النظام
- التلاعب بالمنحنى من خلال عمليات تداول مستهدفة ومتكررة.
- حسابات مراكز LP التي، نتيجة لإعادة التوازن، أنتجت حصصًا خاطئة.
- استنزاف تدريجي للأموال، منظم لتجنب تفعيل المحفزات الدفاعية التلقائية.
في الأساس، سمحت منطقية إعادة التوازن غير المرنة للمهاجمين باستخراج القيمة من LP دون تفعيل آليات التنبيه فوراً. جانب مثير للاهتمام هو قابلية تعديل المبالغ، مما يشير إلى استراتيجية مضبوطة بدقة.
التأثير والأرقام
- الخسارة المقدرة: حوالي 2.3-2.4 مليون دولار.
- الرموز المعنية: USDC و USDT.
- الحالة التشغيلية: تم إيقاف العقود مؤقتًا والوظائف الذكية معلقة حاليًا.
- نقطة حرجة: حساب حصص LP وإدارة السيولة أثناء عمليات إعادة التوازن.
ردود الفعل الرسمية والسياق
أعلن فريق Bunni عن تعليق العقود كإجراء أمني فوري، موضحًا أن هناك تحليلًا بعد الحادث جارٍ لتحديد وتصحيح الثغرة. في الوقت الحالي، لم يتم تقديم اقتباسات مباشرة أو بيانات رسمية مع طوابع زمنية يمكن التحقق منها؛ التحقيقات مستمرة والأولوية تبقى تأمين العقود والسيولة المتبقية.
تدابير التخفيف
- عمليات تدقيق مستمرة على وظائف إعادة التوازن وآليات المحاسبة LP، بما في ذلك اختبارات في سيناريوهات معاكسة.
- تحديد حجم المعاملات التي يمكن أن تؤدي إلى إعادة توازن حساسة.
- تنفيذ قاطع الدائرة ومراقبة الانزلاق في الوقت الحقيقي والتغيرات غير الطبيعية في حصص LP.
- استخدام timelock للتعديلات الحرجة واعتماد عمليات multisig للوظائف الإدارية.
- إنشاء صناديق طوارئ أو تغطيات تأمينية لتخفيف التأثيرات على المستخدمين.
تُعتبر هذه التدابير المضادة أساسية في إدارة مخاطر DeFi.
دليل التشغيل لبروتوكولات السيولة
- إجراء اختبارات الضغط ومحاكاة الهجمات الاقتصادية قبل الإصدارات الرسمية.
- تنفيذ تحديد المعدل على الوظائف التي تؤثر على منحنى التوزيع.
- المراقبة النشطة لمقاييس الإنذار مثل الانزلاق، تغييرات حصص LP، والتدفقات غير المتوقعة نحو المحافظ.
- التحديث الدوري لإجراءات الاستجابة للحوادث والتدريبات للتحقق من فعاليتها.
- استخدام أوراكل موثوقة وإدخال حواجز رياضية لمنع الأخطاء في الحسابات.
الخطوات القادمة للمستخدمين والمطورين
- المستخدمون: مراقبة التحديثات الرسمية للبروتوكول والتحقق من السجلات على السلسلة لأي تغييرات في الpool المتأثرة.
- المطورون: إكمال التحليل الفني بعد الوفاة، إصدار تصحيحات مؤقتة والتخطيط لتدقيق مستقل يركز على وظيفة إدارة السيولة وحسابات LP.
ما يجب مراقبته
- معرف المعاملة والعناوين المؤكدة على المستكشف مثل Etherscan أو Blockscout لتتبع كامل.
- تحديثات حول إصدار التصحيحات والأوقات المتوقعة لإعادة تفعيل العقود.
- تقرير الطب الشرعي لشركات تحليل البلوكشين ونتائج التدقيق العامة.
- برامج المكافآت المحتملة أو الاتفاقيات لاستعادة الأموال المسروقة.
الاستنتاجات
يُظهر الهجوم على Bunni كيف يمكن للابتكارات في توزيع السيولة أن تقدم أسطح هجوم جديدة عندما لا تكون آلية إعادة التوازن قوية بما فيه الكفاية.
أدى الجمع بين التلاعب في المنحنى والأخطاء في حسابات LP إلى إمكانية استنزاف حوالي 2.3-2.4 مليون دولار في العملات المستقرة.
يجب القول إن الأولوية الآن هي إكمال تحليل ما بعد الحادث بشفافية، وتصحيح منطق إدارة السيولة، وإدخال ضوابط دفاعية أكثر صرامة.
الأرقام والعناوين (ملخص)
- المبلغ المقدر: حوالي 2.3-2.4 مليون دولار.
- الرمز: USDC (حوالي 1,33 مليون) وUSDT (حوالي 1,04 مليون).
- الحالة: العقود متوقفة، التحقيقات جارية.
