BounceBit гасит свою сеть и уходит на BNB Chain

BounceBit объявил, что закрывает собственный блокчейн навсегда. Причина — атака в ночь с 19 на 20 августа: злоумышленник нашёл дыру в системе авторизации сети и вывел 286 543 148 BB с девяти аккаунтов, примерно на 3,3 млн долларов. Токен переиздадут на BNB Chain стандартом BEP-20, а балансы восстановят по снимку сети, сделанному за секунды до первой вредоносной транзакции.

Содержание статьи

Коротко

Атака шла с 21:02 UTC 19 августа до 01:54 UTC 20 августа — 14 транзакций почти за пять часов.
Выведено 286,5 млн BB с девяти аккаунтов мейннета, около 3,3 млн долларов по ценам того момента.
Производство блоков остановили в 02:36 UTC — через 42 минуты после последнего перевода.
Сеть BounceBit Chain закрывается насовсем, BB переезжает на BNB Chain.
Снимок для переиздания взят на блоке 20 697 260, украденные токены в новую эмиссию не войдут.

Как именно сломали сеть

Это не кража приватных ключей и не взлом пользовательских кошельков — команда подчёркивает это отдельно. Слабое место нашлось в механизме вестинга, то есть постепенной разблокировки токенов. Функция переводила средства, но не проверяла, дал ли аккаунт-источник разрешение на списание. Формулировка самой команды звучит почти буквально так: система не умела проверить, есть ли у того, кто просит перевод, право забирать деньги со счёта, с которого списывают.

Дальше всё решает арифметика: если проверки нет, атакующему не нужны ни ключи, ни подписи жертвы — достаточно правильно составить запрос. Четырнадцать транзакций за четыре часа пятьдесят две минуты — это не спешка, это спокойная работа по найденному сценарию.

Что будет с держателями BB

Балансы восстанавливают по состоянию на блок 20 697 260, зафиксированный в 21:02:35 UTC 19 августа, — за мгновение до начала атаки. В снимок попадают и застейканные токены, и находящиеся в процессе разлока. 286,5 млн BB, которые увёл атакующий, в новый контракт не переносятся и в переиздании недействительны.

Отдельно сообщается, что приложение CeDeFi, смарт-контракты и хранилища атака не затронула — пострадал именно слой блокчейна, а не продуктовая часть. Что такое CeDeFi и почему такие платформы держат одновременно централизованный и ончейн-контур, у нас разобрано в отдельном материале.

Событие	Время (UTC)
Снимок для переиздания, блок 20 697 260	19 августа, 21:02:35
Начало атаки	19 августа, 21:02
Последний несанкционированный перевод	20 августа, 01:54
Остановка производства блоков	20 августа, 02:36

Почему закрыть сеть, а не починить

Ущерб в 3,3 млн долларов по меркам года небольшой — это заметно меньше, чем теряли на взломах мостов. Тем не менее команда выбрала не патч, а ликвидацию собственного L1 с переездом на чужую инфраструктуру. Решение выглядит непропорциональным сумме — и именно поэтому показательным.

Собственное наблюдение: закрытие сети здесь — это признание, что содержать свой блокчейн дороже, чем он приносит. Своя цепочка требует валидаторов, аудитов, команды протокольных инженеров и постоянного внимания к таким вот проверкам авторизации — а весь продукт BounceBit, ради которого пользователи и приходили, жил в приложении CeDeFi и никак от собственного L1 не зависел. Дыра в вестинге просто показала счёт: сеть стоила дороже, чем стоила её польза. Переезд на BNB Chain отдаёт безопасность на аутсорс тем, кто держит валидаторов профессионально. Для проекта, у которого блокчейн был скорее атрибутом статуса, чем необходимостью, это рациональный шаг — и, судя по числу «суверенных» L1 без собственного трафика, не последний такой случай в этом году.

Чего пока не сообщили

Нет детального плана перехода: не названы сроки обмена токенов, не перечислены биржи, которые поддержат миграцию, и не указана дата развёртывания нового контракта. Не сказано, что произойдёт с валидаторами сети как участниками — речь пока только о их застейканных балансах. Нет данных о попытках вернуть украденное или о переговорах с атакующим, нет и информации о том, кто именно стоит за атакой.