Bunni Protocol subit une perte de 2,3 millions de dollars et une transaction suspecte en ETH est signalée

Bunni Protocol est un système de finance décentralisée (DeFi) basé sur Ethereum. Il aurait perdu environ 2,3 millions de dollars lors d’une transaction suspecte détectée par BlockSec Phalcon, un important outil de surveillance de la sécurité blockchain. Les détails de l’exploit restent inconnus, mais l’activité signalée laisse penser qu’un accès non autorisé aurait pu en être la cause, possiblement via des contrats intelligents ou une faille non corrigée.

Qu’est-ce que Bunni Protocol ?

Bunni est un jeton ERC-20 qui regroupe et échange les NFT de fournisseurs de liquidité (LP) d’Uniswap V3, ce qui simplifie la gestion et les échanges de positions complexes sur Uniswap V3. Son architecture a été jugée relativement simple, et des audits de sécurité antérieurs (yAudit, août 2022) n’avaient identifié qu’un nombre limité de vecteurs d’attaque. Toutefois, une vulnérabilité critique avait déjà été repérée dans le contrat PeripheryPayments, notamment dans la fonction sweepToken(), qui n’était pas protégée par un contrôle d’accès et permettait à n’importe qui de transférer des jetons hors de BunniHub. On ignore si ce bug avait été corrigé avant l’exploit de cette semaine, mais il est possible qu’il soit lié à la perte constatée.

Le rôle de BlockSec Phalcon

La plateforme Phalcon, proposée par BlockSec, se concentre sur l’identification en temps réel des transactions malveillantes sur la blockchain, en analysant les transactions dans le mempool ainsi que les données on-chain. Elle a déjà permis d’éviter des pertes importantes à plusieurs projets DeFi grâce à des alertes instantanées et des mesures de réaction rapides. Dans ce cas précis, Phalcon a immédiatement tiré la sonnette d’alarme sur les transactions suspectes liées à Bunni.

Impact sur le marché et la communauté

Le prix du jeton Bunni et la confiance dans ses pools de liquidité devraient connaître une forte volatilité en raison de l’ampleur de l’exploit (2,3 millions de dollars) et de sa survenue immédiate. Les procédures de sécurité d’Ethereum sont également examinées de plus près, alors que la DeFi peine toujours à maîtriser les interactions complexes liées aux contrats intelligents avancés.

Les forums communautaires indiquent que les développeurs évaluent actuellement l’ampleur des dégâts, avec la possibilité de déployer des correctifs ou de suspendre le contrat concerné. Les prochaines 24 à 48 heures seront décisives pour déterminer si les fonds pourront être récupérés ou s’ils finiront entre les mains de l’attaquant.