BounceBit 區塊鏈的授權漏洞使攻擊者能夠在未經帳戶持有人許可的情況下轉移 BB 代幣,該項目已決定永久關閉其獨立區塊鏈。BounceBit 不會重建該網路,而是將在 BNB Chain 上重新發行 BB,並使用事件前的快照計算餘額。

— BounceBit (@bouncebit) August 21, 2026

四小時攻擊中約 2.865 億枚 BB 被轉移

該事件始於 2026 年 8 月 19 日 21:02 UTC,並持續至 8 月 20 日 01:54 UTC。在這段時間內,攻擊者從九個主網帳戶執行了約 14 筆交易,轉移了約 286,543,148 枚 BB。

該漏洞位於 Evmos 技術堆疊所提供的內建協議功能中。此功能支援鎖定與歸屬帳戶——例如某帳戶從指定出資者提取代幣的操作。協議原本設計為驗證出資者已授予扣款權限,但該授權並未正確執行:第二次授權檢查針對了錯誤的主體。這使呼叫者能夠將任意帳戶指定為出資來源。

BounceBit 強調,該事件是協議故障所致,而非錢包遭駭。沒有私鑰被竊取、沒有簽名被偽造,也沒有任何用戶錢包、硬體設備或交易所帳戶遭到入侵。這一區別對用戶與交易對手而言相當重要,因為風險暴露源於鏈層級的授權邏輯,而非個別帳戶遭到入侵。

區塊鏈停止出塊並凍結狀態

攻擊者使用兩個主要帳戶與 15 個一次性合約執行此次攻擊,資金隨後被歸集並透過中間地址轉移。

BounceBit 於 8 月 20 日 02:36:37 UTC 在第 20,702,857 個區塊停止出塊——約在最後一筆未經授權轉帳後的 42 分鐘。停止出塊後未再發生其他未經授權的轉帳。此次停機也確立了用於代幣遷移的帳本狀態,因為餘額與回滾是依據固定快照計算,而非事件後的鏈上歷史。

該項目也已向各交易所提交協助與凍結請求,但並未針對混合地址,因為這些地址包含無關的第三方資金,不宜採取此類行動。

BB 遷移至 BNB Chain

BounceBit 將不再尋求進一步的網路升級。該項目表示,這條已停用的 Evmos 基礎區塊鏈需要進行大規模的平台重構,涉及網路的完全重建、審計與重新驗證。

取而代之的是,BB 將以 BEP-20 代幣的形式在 BNB Chain 上重新發行,並作為 BounceBit 的主要執行環境。

重新發行代幣的餘額將以第 20,697,260 個區塊的快照為準,該區塊時間戳為 8 月 19 日 21:02:35 UTC——即第一筆未經授權轉帳發生之前。事件期間被轉移的 286,543,148 枚 BB 將不會計入重新發行的代幣。

快照與停止出塊之間記錄的交易也將被回滾:該期間發行的 BB 將返還給交易對手,該期間發送的 BB 將返還給發送方。快照也將涵蓋該區塊時以質押及解綁中形式持有的 BB。