De 19 a 20 de agosto de 2026, um atacante retirou BB de nove contas principais da rede BounceBit Chain, aproveitando uma falha na autenticação em um dos módulos integrados do protocolo. A falha permitia especificar uma conta arbitrária como fonte de financiamento sem a confirmação do proprietário. Chaves privadas, assinaturas, carteiras e contas de exchange não foram comprometidas — o problema estava no nível do protocolo.
Fatos-chave:
- Foram retirados 286.543.148 BB em 14 transações ao longo de quase cinco horas.
- A produção de blocos foi interrompida na altura 20.702.857 (02:36 UTC de 20 de agosto); desde então, a rede está inoperante.
- Apenas nove contas comuns com saldos foram afetadas; os produtos CeDeFi Strategy, Promo Vaults, Prime e RWA não foram impactados pelo incidente.
- Os fundos passaram por dois endereços principais do atacante e 15 contratos únicos, depois foram divididos e parcialmente enviados para exchanges; a equipe apresentou pedidos de congelamento.
Decisão da equipe: a BounceBit Chain será desativada definitivamente. A razão é que a rede foi construída sobre um fork da Evmos, cujo desenvolvimento foi interrompido; portanto, uma atualização completa exigiria recompilação e reauditoria desde o início. Em vez disso, o BB será reemitido como um token padrão BEP-20 na rede BNB Chain, para onde já foi transferida a maior parte dos produtos e da atividade dos usuários.
Como será considerado o saldo: a captura do estado foi feita no bloco 20.697.260 (21:02:35 UTC de 19 de agosto) — o momento imediatamente antes da primeira transação não autorizada. Os fundos do atacante não estão incluídos nessa captura. Todas as operações com BB na BounceBit Chain após essa marca e até a interrupção da rede (cerca de 5,5 horas) serão canceladas: se os tokens foram comprados nesse período, eles serão devolvidos ao vendedor; se foram enviados, serão devolvidos ao remetente.
Os BB estacados e em processo de descongelamento no momento da captura serão tratados da mesma forma que os líquidos e serão creditados no mesmo endereço — não é necessário retirá-los do staking, pois a rede ainda não está funcionando.
Por enquanto, os detentores não precisam fazer nada.
Bouncebit — protocolo de restaking de BTC e protocolo CeDeFi que permite obter rendimentos do staking de BTC em DeFi ou CeFi.
Investimentos: $6 milhões de Blockchain Capital, NGC Ventures, CMS Holdings, OKX Ventures e outros.