Уязвимость в логике авторизации блокчейна BounceBit позволила злоумышленнику переводить токены BB без разрешения владельцев аккаунтов, и проект решил навсегда остановить работу своей автономной цепи. Вместо восстановления сети BounceBit перевыпустит BB на BNB Chain и рассчитает балансы на основе снапшота, сделанного до инцидента.

— BounceBit (@bouncebit) August 21, 2026

286,5 млн BB перемещены за четыре часа атаки

Инцидент начался в 21:02 UTC 19 августа 2026 года и продолжался до 01:54 UTC 20 августа. За это время злоумышленник провёл около 14 транзакций с девяти аккаунтов основной сети, переместив примерно 286 543 148 BB.

Уязвимость была выявлена во встроенной функциональности протокола, предоставляемой стеком Evmos. Эта функция поддерживает аккаунты блокировки и вестинга — например, операции, при которых один аккаунт получает токены от назначенного источника средств. Протокол должен был проверять, что источник средств предоставил разрешение на списание, однако эта авторизация не была корректно реализована: вторая проверка авторизации выполнялась в отношении неверного субъекта. В результате вызывающая сторона могла назначить произвольный аккаунт в качестве источника средств.

BounceBit подчеркнула, что инцидент стал следствием сбоя на уровне протокола, а не взлома кошельков. Приватные ключи не были украдены, подписи не подделывались, а пользовательские кошельки, аппаратные устройства и аккаунты на биржах не были скомпрометированы. Это различие важно для пользователей и контрагентов, поскольку уязвимость была связана с логикой авторизации на уровне цепи, а не с компрометацией отдельных аккаунтов.

Остановка цепи и заморозка состояния

Для проведения эксплойта злоумышленник использовал два основных аккаунта и 15 одноразовых контрактов. Затем средства были консолидированы и перемещены через промежуточные адреса.

BounceBit остановила производство блоков на блоке 20 702 857 — примерно через 42 минуты после последней несанкционированной транзакции — в 02:36:37 UTC 20 августа. После остановки несанкционированных переводов больше не происходило. Остановка также фиксирует состояние реестра, используемое для миграции токена: балансы и отмены транзакций рассчитываются на основе фиксированного снапшота, а не истории цепи после инцидента.

Проект также направил на биржи запросы о содействии и заморозке средств, однако не в отношении смешанных адресов, где такие меры не обоснованы, поскольку на них находятся средства не связанных с инцидентом третьих лиц.

BB переходит на BNB Chain

BounceBit не будет продолжать обновления сети. По словам проекта, дальнейшая поддержка снятой с разработки цепи на базе Evmos потребовала бы масштабного переноса платформы, включающего полную пересборку, аудит и повторную валидацию сети.

Вместо этого BB будет перевыпущен как токен BEP-20 на BNB Chain, которая станет основной средой исполнения для BounceBit.

Балансы перевыпущенного токена будут основаны на снапшоте блока 20 697 260 с меткой времени 21:02:35 UTC 19 августа — непосредственно перед первой несанкционированной транзакцией. Перемещённые в ходе инцидента 286 543 148 BB не будут перенесены в перевыпущенный токен.

Транзакции, зафиксированные между снапшотом и остановкой цепи, также будут отменены: BB, выпущенные в этот период, будут возвращены контрагенту, а BB, отправленные в этот период, будут возвращены отправителю. Снапшот также охватывает BB, находившиеся на этом блоке в стейкинге и в процессе анбондинга.