W dniach 19–20 sierpnia 2026 roku sprawca wywiózł BB z dziewięciu głównych kont sieci BounceBit Chain, wykorzystując błąd autoryzacji w jednym z wbudowanych modułów protokołu. Błąd umożliwiał wskazywanie dowolnego konta jako źródła finansowania bez potwierdzenia właściciela. Klucze prywatne, podpisy, portfele i konta giełdowe nie zostały przy tym skompromitowane – problem tkwił na poziomie samego protokołu.
Główne fakty:
- Wywieziono 286 543 148 BB w ramach 14 transakcji w ciągu prawie pięciu godzin.
- Produkcja bloków została zatrzymana na wysokości 20 702 857 (02:36 UTC 20 sierpnia); od tego czasu sieć nie działa.
- Zostały dotknięte tylko dziewięć zwykłych kont z saldami; produkty CeDeFi Strategy, Promo Vaults, Prime i RWA nie zostały objęte incydentem.
- Pieniądze przeszły przez dwa główne adresy sprawcy oraz 15 ad hoc kontraktów, następnie zostały podzielone i częściowo wysłane na giełdy; zespół złożył wnioski o zamrożenie środków.
Rozwiązanie zespołu: BounceBit Chain zostaje całkowicie zatrzymany. Powodem jest fakt, że sieć opiera się na forku Evmos, którego rozwój został zaprzestany, więc pełne aktualizacje wymagałyby ponownej kompilacji i powtórnej audytu od podstaw. Zamiast tego BB zostanie wydany ponownie jako token standardu BEP-20 w sieci BNB Chain, gdzie już przeniesiona została większość produktów i aktywności użytkowników.
Według stanu bilansowego: zdjęcie stanu zostało wykonane na bloku 20 697 260 (21:02:35 UTC 19 sierpnia) – moment bezpośrednio przed pierwszą nieautoryzowaną transakcją. Środki atakującego nie trafiają do tego zdjęcia. Wszystkie operacje z BB na BounceBit Chain po tej chwili i do momentu zatrzymania sieci (około 5,5 godziny) są anulowane: jeśli tokeny zostały kupione w tym okresie – zostaną zwrócone sprzedawcy, a jeśli zostały wysłane – wrócą do nadawcy.
Tokeny BB zablokowane i odblokowywane w momencie zdjęcia są traktowane jak płynne i zostaną przelane na ten sam adres – nie trzeba ich wyjmować z stakingu, ponieważ sieć i tak nie działa.
Holdery na razie nie muszą nic robić.
Bouncebit – protokół restakingu BTC oraz protokół CeDeFi, umożliwiający uzyskanie dochodu z restakingu BTC na DeFi lub CeFi.
Inwestycje: 6 milionów USD od Blockchain Capital, NGC Ventures, CMS Holdings, OKX Ventures i innych.