Bouncebit exploit: BounceBit закрывает BounceBit Chain после атаки более чем на $3000000

BounceBit exploit вынудил команду проекта остановить собственный блокчейн первого уровня и отказаться от его восстановления: из сети вывели 286 млн токенов BB на сумму около $3,1 млн, а активы пользователей планируется перенести в формат BEP-20 на BNB Chain.

Как прошла атака на BounceBit Chain

По данным команды BounceBit, инцидент развивался так:

• дата и время атаки: ночь с 19 на 20 августа;
• затронутые адреса: девять адресов BounceBit Chain;
• объем вывода: 286 млн BB;
• причина уязвимости: ошибка авторизации в модуле вестинга и блокировки аккаунтов стека Evmos, на котором работала сеть.

Именно эта Vulnerability (computer security) позволила атакующим обойти ограничения и получить доступ к токенам, которые не должны были свободно перемещаться. Для рынка Cryptocurrency и Decentralized finance такие сбои особенно чувствительны: пользователи ожидают, что базовая Blockchain-инфраструктура выдержит нагрузку даже при сложной логике смарт-контрактов и блокировок.

Возможен ли взлом криптовалюты

Да, если в смарт-контрактах, протоколах или инфраструктуре есть уязвимости. Блокчейн не отменяет человеческие ошибки, слабую авторизацию и недочеты в коде: через них злоумышленники могут получить доступ к токенам или обойти ограничения.

Чаще всего атаки идут несколькими путями:

• эксплойты используют ошибку в коде или логике протокола;
• фишинг заставляет пользователя самому раскрыть доступ к кошельку;
• атаки на приватные ключи дают злоумышленникам прямой контроль над активами.

Часть украденных BB уже ушла на торговые площадки. Около 254 млн токенов отправлены на крупную неназванную биржу, еще почти 10 млн BB попали на другую платформу. Оставшиеся 18,5 млн BB продолжают находиться на одном адресе. Команда BounceBit обратилась к биржам с просьбой заморозить связанные с атакой адреса.

Почему сеть решили не перезапускать

Разработчики не стали восстанавливать BounceBit Chain. Они объяснили это тем, что сеть опиралась на инфраструктуру Evmos, которая уже не функционирует в прежнем виде. Перенос форка на новую кодовую базу потребовал бы фактически заново собрать платформу, провести аудит и повторную валидацию, прежде чем цепочка смогла бы безопасно обслуживать переводы активов.

Вместо перезапуска команда выбрала Chain migration: токены BB будут перевыпущены как BEP-20 на базе BNB Chain. Такой подход должен убрать из обращения украденные активы и дать пользователям новые токены без дополнительных действий с их стороны.

Миграция BB будет построена вокруг нескольких шагов:

• сначала берется снимок сети до атаки;
• контрольная точка — блок 20 697 260;
• украденные 286,5 млн BB исключаются из новой эмиссии;
• новые токены автоматически распределяются по адресам пользователей в BNB Chain.

Мы обнаружили проблему, затронувшую BounceBit Chain, и из осторожности приостановили работу узлов, пока готовим исправление. Транзакции BB временно недоступны. Ситуация ограничена самой сетью: приложение CeDeFi, смарт-контракты и хранилища не пострадали.

После инцидента команда сосредоточилась на нескольких практических мерах: остановила узлы, подготовила исправление, попросила биржи заморозить связанные адреса и выбрала миграцию BB с исключением украденных токенов из новой эмиссии.

Что известно о проекте и контексте взлома

BounceBit занимается рестейкингом биткоинов. В 2024 году проект привлек $6 млн от Blockchain Capital и Breyer Capital, а в конце апреля того же года инвестиции в него направила YZi Labs.

Инцидент также показывает, насколько важны базовые механизмы проверки прав доступа, Public-key cryptography и корректная работа любого Communication protocol внутри криптосистем. Даже если проблема не затрагивает хранилища напрямую, сбой в модуле авторизации может привести к крупным потерям и вынужденной миграции активов.

Для экосистемы, где рядом развиваются RWA, Exchange-traded fund-продукты, биржевые сервисы вроде Binance и инфраструктура токенизации, такие атаки становятся напоминанием: безопасность сетевого уровня остается ключевым условием доверия. Пользователям BounceBit не нужно сверять служебные идентификаторы вроде 17190 или вручную подавать заявки на получение новых BB — команда обещает провести распределение автоматически.

За последнюю неделю это не единственный крупный взлом в криптоотрасли. Maya Protocol потерял активы на $1,7 млн, главным образом в биткоинах. Ранее атаке подвергся криптосервис Coinsbuy, откуда вывели $7,9 млн.