Balancer a été victime d'une attaque de hacker de 116 millions de dollars, le mythe de la sécurité de la finance décentralisée s'effondre-t-il à nouveau ?

Question

« Chaque contrat en ligne pendant une période aussi longue lorsqu’il est attaqué, retarde l’adoption de la Finance décentralisée de 6 à 12 mois. » Hasu, directeur stratégique de flashbots et conseiller stratégique de Lido, a exprimé cette opinion après le piratage de Balancer.

Le 3 novembre, le protocole de Finance décentralisée Balancer, ancien et bien établi, a été victime d’une attaque de hackers sans précédent, avec une perte atteignant 116,6 millions de dollars.

Ce montant important d’actifs a été rapidement volé en utilisant une vulnérabilité de rappel cross-chain présente dans le contrat intelligent du pool Balancer V2. Au 4 novembre, les hackers échangeaient les actifs volés contre de l’Éther via Cow Protocol.

01 Rétrospective de l’événement : une énorme somme d’argent disparaît en un instant

L’attaque contre Balancer a déclenché une réaction dans le monde de la cryptographie le 3 novembre, initialement le montant volé étant d’environ 70 millions de dollars, puis augmentant continuellement.

Au moment de la rédaction, la perte s’élève déjà à 116,6 millions de dollars, faisant de cet incident la plus grave en termes de sécurité dans l’histoire de Balancer.

Les informations on-chain montrent que les principaux actifs volés par le hacker incluent des jetons de liquidité stakés tels que WETH, wstETH, osETH, frxETH, rsETH, rETH, etc.

Ces actifs sont répartis sur plusieurs chaînes, notamment Éther, Base, Sonic, avec la perte la plus importante sur la chaîne Éther, approchant 100 millions de dollars.

02 Analyse de la vulnérabilité : une catastrophe causée par une erreur de bas niveau

Les chercheurs en sécurité ont rapidement identifié la source de la vulnérabilité. Selon l’analyse des organismes de surveillance de la sécurité Defimon Alerts et Decurity, le problème réside dans la vérification du contrôle d’accès de la fonction manageUserBalance du protocole Balancer V2.

Le système, lors de la vérification des droits de retrait de Balancer V2, aurait dû vérifier si l’appelant était le véritable propriétaire du compte, mais le code vérifiait à tort si msg.sender (l’identification de l’appelant) était égal au paramètre op.sender fourni par l’utilisateur.

Étant donné que op.sender est une entrée contrôlable par l’utilisateur, l’attaquant peut falsifier son identité à sa guise, contournant ainsi la vérification des droits.

Une erreur aussi fondamentale dans le contrôle d’accès, sur un protocole mature en fonctionnement depuis 5 ans, laisse les experts en sécurité stupéfaits.

03 Rétrospective historique : six incidents de sécurité en six ans pour Balancer

Si vous trouvez que le titre « Balancer a été piraté » vous semble familier, ce n’est pas une surprise. Il s’agit en fait de la 6e incident de sécurité en 5 ans pour Balancer.

En regardant dans le passé, le bilan de sécurité de Balancer n’a jamais été très rassurant :

Juin 2020 : vulnérabilité de jetons déflationnistes, perte d’environ 520 000 dollars
Mars 2023 : impact indirect de l’incident Euler, perte d’environ 11,9 millions de dollars
Août 2023 : vulnérabilité de précision du pool V2, perte d’environ 2,1 millions de dollars
Septembre 2023 : attaque de détournement DNS, perte d’environ 240 000 dollars
Juin 2024 : piratage du fork Velocore, perte d’environ 6,8 millions de dollars

Ces incidents successifs illustrent la fragilité de la sécurité de Balancer et de l’ensemble de l’écosystème de la Finance décentralisée.

04 Impact sur le marché : effondrement de la confiance et chute des prix

La réaction du marché à cet incident a été rapide et intense. Selon CoinMarketCap, le jeton BAL (Balancer) a chuté de 7,13 % le 3 novembre, à 0,92 dollar.

La capitalisation boursière actuelle de BAL est d’environ 62,2 millions de dollars, en baisse d’environ 4,775 millions de dollars par rapport à la veille. Les données de Gate montrent que le prix de BAL a été sous pression continue ces derniers temps.

La confiance dans la sécurité de Balancer a été gravement affectée, et les investisseurs ajustent activement leurs stratégies de détention, ce qui entraîne une pression de dumping notable.

Un épisode intéressant est que, selon LookonChain, un Baleine cryptographique dormant depuis 3 ans s’est réveillée juste après la faille du protocole Balancer, cherchant à retirer ses actifs liés d’environ 6,5 millions de dollars.

05 Réaction en chaîne dans l’industrie : auto-assistance et suspension des opérations

Face à cette crise soudaine, plusieurs projets intégrés à Balancer ont lancé des mesures d’auto-assistance :

Lido a retiré ses positions Balancer non affectées
Berachain a directement annoncé la suspension du réseau pour effectuer une mise à jour d’urgence avec une hard fork pour corriger la vulnérabilité liée à Balancer V2 sur BEX
Smokey The Bera, fondateur de Berachain, a indiqué avoir demandé à l’équipe Ethena de désactiver le pont Bera et de suspendre les opérations sur le marché concerné

Ces mesures montrent le rôle clé de Balancer dans l’écosystème de la Finance décentralisée, tout en soulignant que la vulnérabilité d’un seul protocole peut entraîner des risques systémiques.

06 L’avenir de la sécurité en Finance décentralisée : de la dette technique à la gestion des risques

L’une des innovations de Balancer — permettre la composition de pools hybrides avec jusqu’à 8 jetons à poids personnalisés — est également devenue une faiblesse en matière de sécurité.

Comparé à la conception simple d’Uniswap, la complexité de Balancer augmente de façon exponentielle. Chaque jeton supplémentaire dans le pool fait exploser l’espace d’état du pool, augmentant ainsi la surface d’attaque.

Balancer a opté pour une voie de développement à évolution rapide. De V1 à V2, puis avec divers pools Boosted, chaque mise à jour s’est construite sur le code existant en ajoutant de nouvelles fonctionnalités.

Cette accumulation de « dette technique » transforme la base de code en une tour de blocs vulnérable.

En 2025, la sécurité de la Finance décentralisée devra faire face à de nouveaux défis. L’attaque TEE.Fail montre que même les mesures de sécurité matérielle peuvent être contournées avec des outils coûtant seulement 1000 dollars.

Les vecteurs d’attaque ont évolué, passant des vulnérabilités de contrats intelligents aux vulnérabilités opérationnelles. 80,5 % des pertes proviennent désormais de menaces hors chaîne telles que le phishing, les faux airdrops et la fuite de clés privées.

Pour faire face à ces défis, la cryptographie à preuve à connaissance zéro et les portefeuilles multisignatures innovants réduisent depuis 2020 les pertes dues à l’exploitation de vulnérabilités de 90 %.

07 Guide pour les investisseurs : avancer prudemment dans un contexte risqué

Pour les investisseurs, cet incident sonne une nouvelle alarme. Naviguer dans la Finance décentralisée nécessite de garder à l’esprit :

Retirer ses fonds des pools affectés : retirer immédiatement ses fonds du pool Balancer V2 pour éviter d’aggraver la perte
Révoquer les autorisations : utiliser Revoke, DeBank ou Etherscan pour annuler les permissions du contrat intelligent de l’adresse Balancer
Favoriser les projets audités : privilégier ceux combinant audit de contrat intelligent, surveillance en temps réel et coupe-circuit
Utiliser des portefeuilles multisignatures : réduire le risque de point unique de défaillance, surtout pour les positions importantes

Perspectives d’avenir

Au 4 novembre, le hacker de Balancer a commencé à échanger les jetons de liquidité stakés volés contre de l’Éther via Cow Protocol. Les analystes on-chain, comme Yuren, ont détecté que le hacker convertit continuellement les actifs volés sur plusieurs chaînes en ETH, USDC et autres actifs principaux.

Les responsables officiels de Balancer ont indiqué qu’ils sont disposés à payer 20 % des actifs volés en récompense blanche pour récupérer les fonds, valable dans les 48 heures. Cependant, la récupération de ces actifs volés semble de plus en plus improbable.

Pour les observateurs, la Finance décentralisée est une expérience sociale innovante ; pour les participants, un piratage coûteux ; pour l’ensemble du secteur, la santé de la Finance décentralisée est une école de la maturité à payer.