Bursa Terdesentralisasi BunniXYZ Kehilangan $8,4 Juta dalam Eksploitasi Likuiditas

Decentralized exchange (DEX) BunniXYZ dilaporkan telah kehilangan $8,4 juta akibat eksploitasi keamanan berbasis likuiditas.

Menurut perusahaan keamanan on-chain Hacken, $6 juta dana DEX dicuri melalui blockchain Unichain dan $2,4 juta melalui Ethereum. Semua dana Unichain kemudian dijembatani ke Ethereum menggunakan Across Protocol.

Mengonfirmasi serangan tersebut dalam sebuah tweet, BunniXYZ mengatakan bahwa mereka telah menghentikan semua aktivitas smart contract di jaringannya dan sedang “secara aktif menyelidiki” keadaan serangan tersebut. Mereka menambahkan bahwa pembaruan akan segera diberikan.

Didirikan pada Februari 2025, BunniXYZ didasarkan pada automated market maker Uniswap v4, dan terutama menggunakan blockchain Ethereum dan Unichain. Saat ini, menurut DeFiLlama, mereka memiliki Total Value Locked (TVL) lintas chain sedikit di atas $50 juta, meskipun sempat melebihi $80 juta pada awal Agustus lalu.

Michael Bentley, salah satu pendiri protokol lending Euler, menyarankan pengguna untuk menarik dana mereka dari Bunni dalam sebuah tweet, seraya menambahkan bahwa meskipun DEX menyeimbangkan dana masuk dan keluar dari Euler, protokol lending tersebut "tidak terpengaruh atau berisiko." Euler sendiri pernah mengalami eksploitasi besar pada 2023 di mana peretas mencuri hampir $200 juta, sebagian besar dana tersebut kemudian berhasil dipulihkan.

Apa yang terjadi?

Menurut analis on-chain Victor Tran, salah satu pendiri Kyber Network, peretas memanipulasi “kurva likuiditas” Bunni, yang juga dikenal sebagai LDF (Liquidity Density Function). Ini adalah sistem yang menghitung seberapa banyak likuiditas ekstra yang ada di dalam exchange dan menyeimbangkan pool likuiditasnya untuk menjaga rasio token yang tepat.

Tran mengatakan peretas memanipulasi LDF ini “dengan melakukan perdagangan dalam ukuran yang sangat spesifik.” Hal ini menyebabkan perhitungan penyeimbangan menjadi rusak, menghasilkan hasil yang salah untuk berapa banyak setiap bagian pool likuiditas seharusnya dimiliki.

Dengan mengulangi proses ini, peretas diduga menarik lebih banyak token daripada yang seharusnya mereka bisa dari Bunni.

Bunni sendiri belum mengonfirmasi mekanisme di balik serangan tersebut.