PancakeBunny Mint-Manipulation

Am 19. Mai 2021 wurde der BSC-Yield-Aggregator PancakeBunny um etwa 45 Millionen $ ausgenutzt — 114.631 WBNB im Wert von ungefähr diesem Betrag zu damaligen Preisen. Ein Flash-Kredit über 704 Millionen $ von PancakeSwap und ForTube Bank finanzierte einen Preismanipulationsangriff, der den BUNNY-Belohnungsmechanismus des Protokolls missbrauchte, um ~7 Millionen BUNNY-Tokens aus dem Nichts zu minten. Der BUNNY-Token stürzte von 146 $ auf 6 $ innerhalb von Minuten ab.

Was geschah

PancakeBunny betrieb ein Yield-Aggregations-Protokoll, bei dem Nutzer Vermögenswerte einzahlten und BUNNY-Tokens als Belohnung verdienten. Der Betrag an BUNNY, der als Belohnung gemintet wurde, wurde mit einem On-Chain-Preisorakel berechnet, das aus den BUNNY/BNB- und USDT/BNB-Pools auf PancakeSwap las.

Der Angreifer erkannte, dass diese Preisorakel vorübergehend von jedem mit genügend Kapital manipuliert werden konnten, um die zugrundeliegenden Pool-Salden zu bewegen. Mit einem Flash-Kredit ist dieses Kapital kostenlos.

Der Angriff:

1. Flash-borgte 2,3 Mio. BNB (~704 Mio. $ zur damaligen Zeit) aus sieben PancakeSwap-Pools.
2. Flash-borgte 2,9 Mio. USDT von ForTube Bank.
3. Manipulierte gleichzeitig die USDT/BNB- und BUNNY/BNB-Preise, indem große Swaps durch die relevanten Pools geleitet wurden.
4. Löste PancakeBunnys Belohnungsberechnung aus, die den manipulierten BUNNY/BNB-Preis als Input las. Das Protokoll glaubte, dem Angreifer eine massive BUNNY-Belohnung zu schulden und mintete ~7 Mio. BUNNY aus dem Nichts.
5. Dumpte das frisch geprägte BUNNY für BNB und andere Vermögenswerte in derselben Transaktion.
6. Zahlte die Flash-Kredite zurück, ging mit ~114.631 WBNB Gewinn davon.

PancakeBunnys TVL — das vor dem Angriff 10 Milliarden $ überschritten hatte — fiel in den Nachwirkungen auf etwas mehr als 1 Milliarde $, als der Kollaps des BUNNY-Tokens und der breitere Vertrauensverlust Abhebungen antrieben.

Folgen

• PancakeBunny pausierte den Betrieb und kündigte ein neu gestaltetes Protokoll an, das Preise mit Chainlink-Orakeln für "faire" Bepreisung berechnen würde, statt interner Pool-Lesungen.
• Das Team startete einen Wiederherstellungsplan, einschließlich pBUNNY-Belohnungen, die betroffene Einleger im Laufe der Zeit entschädigen sollten. Die Wiederherstellung war teilweise; viele Nutzer absorbierten reale Verluste.
• Die gestohlenen Mittel wurden über Tornado Cash gewaschen; keine öffentliche Wiederherstellung.
• PancakeBunny erlitt einen zweiten, kleineren Hack im Juli 2021 (2,4 Mio. $), bevor sein Gesamtstand in BSC DeFi kollabierte.

Warum es wichtig ist

PancakeBunny ist der kanonische Fall dafür, warum Belohnungsberechnungen keine manipulierbaren Preise in derselben Transaktion lesen dürfen, in der die Belohnung beansprucht wird. Jeder Yield-Aggregator, der Nutzer-Belohnungen aus einem aktuellen Pool-Preis berechnet — ohne Zeitgewichtung oder externe Orakel-Verankerung — ist einen Flash-Kredit von PancakeBunnys Ergebnis entfernt.

Das strukturelle Muster — prägen Sie protokollkontrollierte Tokens gegen einen manipulierten Preis — wiederholt sich in der DeFi-Ära bei Cream Finance, Beanstalk, Cetus und vielen anderen. PancakeBunny war eine frühe, saubere Ausführung des Playbooks auf BSC, bevor flash-kredit-resistente Orakel-Muster zur Standardpraxis im Ökosystem geworden waren.