Balancer Hack 2025 : $128M Exploitation et les risques systémiques de la DeFi révélés

La faille de Balancer en 2025 a secoué l’écosystème DeFi, avec une exploitation de $128 millions ciblant ses pools stables composables V2, mettant en lumière des vulnérabilités dans la gestion de la liquidité et soulevant des questions urgentes sur les limites des audits et l’interopérabilité des protocoles.

La faille de Balancer : $128 Millions drainés des pools V2

Le 3 novembre 2025, Balancer V2 a subi une brèche dévastatrice, perdant $128 millions sur sept chaînes, dont Ethereum (, Arbitrum $100 , Base )$3,95 millions(, Sonic $8 $3,4 millions), Optimism ($1,57 million), Polygon ($230 000), et d’autres. L’attaque a exploité une vérification de contrôle d’accès défectueuse dans la fonction manageUserBalance, permettant aux hackers de se faire passer pour les propriétaires de frais afin de siphonner des actifs comme WETH, wstETH et osETH. Ce n’est pas la première incident de Balancer—des exploits précédents soulignent les risques liés aux contrats de longue durée, avec la TVL maintenant réduite de moitié à 1,2 milliard de dollars et des protocoles forkés subissant d’importants flux sortants.

• Répartition des pertes : (total ; 90 % provenant des pools stables composables.
• Actifs affectés : WETH, wstETH, osETH, frxETH, rsETH, rETH.
• Impact sur la chaîne : 7 réseaux ; 27 forks en danger.

Mécanismes de l’attaque : contrôle d’accès défectueux et impersonation

L’exploitation reposait sur une validation défectueuse dans le contrat Vault de Balancer, où les attaquants ont conçu des instructions malveillantes pour contourner les vérifications de propriété. En utilisant UserBalanceOpKind.WITHDRAW_INTERNAL, ils ont trompé le système pour effectuer des retraits non autorisés, manipulant des rappels pour exécuter des échanges sans permissions. Des sociétés de sécurité comme PeckShield ont confirmé qu’il ne s’agissait pas d’une fuite de clé privée—il s’agissait d’un défaut pur du contrat intelligent, exploitant des pools interconnectés pour une vidange rapide. Cet « effet papillon » s’est propagé aux protocoles forkés, amplifiant les risques systémiques dans le modèle de composabilité de DeFi.

Risques systémiques : 27 forks et retombées multi-chaînes

La vulnérabilité de Balancer V2 s’est répercutée sur 27 protocoles forkés, impactant Ethereum, Berachain, et d’autres, provoquant des réponses d’urgence telles que des arrêts de chaîne et des retraits de positions. Berachain a suspendu son réseau pour un hard fork, désactivant les ponts et arrêtant les dépôts USDe, tandis que Sonic a gelé les portefeuilles des hackers. L’incident a mis en évidence des lacunes dans les audits—malgré des revues par Certora et OpenZeppelin—fusionnant vie privée et scalabilité, et alimentant les débats sur la décentralisation versus la protection des utilisateurs. Avec plus de )milliard de TVL, de telles exploits pourraient entraîner plus de 1 milliard de dollars en appels de collatéral, soulignant la fragilité de DeFi.

Réponse de l’industrie : arrêts, audits et controverses

La faille a déclenché une action immédiate :

• Arrêts de chaîne : fork d’urgence de Berachain et gel des portefeuilles Sonic.
• Retraits de position : Lido a retiré ses avoirs non affectés.
• Enquêtes : PeckShield et Decurity examinent la faille.

Les débats sur « le coût de la décentralisation » font rage, avec les héritiers de Hal Finney et des analystes arguant que les arrêts sapent la confiance, tandis que d’autres louent la sécurité des utilisateurs. L’adresse du hacker, liée à plus de 128 millions de dollars, continue de blanchir via Mixero, avec (échange contre ETH/USDC.

Contexte historique : l’héritage de vulnérabilité de Balancer

Balancer, pionnier de l’AMM en 2017, a été confronté à plusieurs exploits, notamment le drain de 2022 et la perte de 2021, malgré les audits. La faille de la V2, dans un contrat de 2021, expose les risques liés à un code de longue durée, ce qui, selon des experts, retarde le développement de DeFi de 6 à 12 mois. Des protocoles forkés comme Velodrome et Solidly font face à des menaces similaires, soulignant la double face de la composabilité.

Réflexions approfondies : limites des audits et dilemme de DeFi

L’incident met en lumière :

• Les lacunes des audits : même les revues par plusieurs sociétés peuvent manquer des cas extrêmes.
• Les risques de la composabilité : des pools interconnectés amplifient une seule faille.
• Décentralisation versus sécurité : les arrêts sauvent des fonds mais remettent en question les idéaux.

Il appelle à des conceptions modulaires, une surveillance en temps réel, et à l’utilisation de ZK proofs pour une vérification d’accès fiable.