Балансер Хак 2025: $128M Використання та системні ризики DeFi викриті

Хак Balancer 2025 спричинив шокові хвилі в екосистемі DeFi, з експлуатацією $128 мільйонів, що націлена на його V2 комодіфіковані стабільні пули, підкреслюючи вразливості у управлінні ліквідністю та піднімаючи термінові питання щодо обмежень аудиту та Сумісності протоколів.

Хак Balancer: $128 Мільйонів Виведено з V2 пулів

3 листопада 2025 року Balancer V2 зазнав руйнівного прориву, втративши $128 мільйонів на семи мережах, включаючи Ethereum (, Arbitrum $100 , Base )$3.95 мільйонів(, Sonic $8 $3.4 мільйонів), Optimism ($1.57 мільйонів), Polygon ($230 000) та інші. Атака використала несправний контроль доступу у функції manageUserBalance, дозволяючи хакерам імітувати власників комодіфікованих активів для зняття активів, таких як WETH, wstETH та osETH. Це не перший інцидент Balancer — попередні експлуатації підкреслюють ризики довгострокових протоколів, з TVL тепер зменшеним до $1.2 мільярдів, а форковані протоколи стикаються з масовими витоками.

• Прорив вниз: (загалом; 90% з комодіфікованих стабільних пулів.
• Затронуті активи: WETH, wstETH, osETH, frxETH, rsETH, rETH.
• Вплив на мережі: 7 мереж; 27 форків під загрозою.

Механіка атаки: Несправний контроль доступу та імітація

Експлуатація базувалася на дефектній валідації у контракті Vault Balancer, де зловмисники створювали шкідливі інструкції для обходу перевірок власності. Використовуючи UserBalanceOpKind.WITHDRAW_INTERNAL, вони обманювали систему, щоб здійснювати несанкціоновані зняття, маніпулюючи зворотними викликами для виконання обмінів без дозволу. Фірми безпеки, такі як PeckShield, підтвердили, що не було витоків приватних ключів — це була чиста вразливість смарт-контракту, яка експлуатувала взаємопов’язані пули для швидкого прориву. Цей “ефект метелика” поширився на форковані протоколи, посилюючи системні ризики у моделі комодіфікації DeFi.

Системні ризики: 27 форків та багатосерійний вплив

Вразливість Balancer V2 поширилася на 27 форкованих протоколів, вплинувши на Ethereum, Berachain та інші, викликавши надзвичайні заходи, такі як зупинки мережі та зняття позицій. Berachain призупинив свою мережу для апгрейду, відключив мости та зупинив депозити USDe, тоді як Sonic заморозив гаманці хакерів. Інцидент виявив прогалини в аудиті — незважаючи на перевірки Certora та OpenZeppelin — поєднання приватності з масштабованістю, і підживлює дебати щодо децентралізації проти захисту користувачів. З TVL понад )мільярдів, такі експлуатації можуть спричинити понад $1 мільярд у вимогах застави, підкреслюючи крихкість DeFi.

Реакція галузі: Зупинки, аудити та суперечки

Прорив викликав негайні дії:

• Зупинки мережі: Надзвичайний форк Berachain та замороження гаманців Sonic.
• Зняття позицій: Lido зняв неушкоджені активи.
• Розслідування: PeckShield і Decurity досліджують вразливість.

Дебати про “вартість децентралізації” тривають, спадкоємці Hal Finney та аналітики стверджують, що зупинки підривають довіру, тоді як інші хвалять безпеку користувачів. Адреса хакера, пов’язана з понад $128М, продовжує відмивати через Mixero, з (зміщенням у ETH/USDC.

Історичний контекст: Спадщина вразливості Balancer

Balancer, піонер AMM 2017 року, стикалася з кількома експлуатаціями, включаючи 2022 )прорив та 2021 $128M втрату, незважаючи на аудити. Вразливість V2, у контракті 2021 року, відкриває ризики довгострокового коду, що ставить DeFi назад на 6-12 місяців, за словами експертів. Форки, такі як Velodrome та Solidly, стикаються з подібними загрозами, підкреслюючи двосічність комодіфікації.

Глибші роздуми: Обмеження аудиту та дилема DeFi

Хак відкриває:

• Недоліки аудиту: Навіть багатофірмові перевірки пропускають крайні випадки.
• Ризики комодіфікації: Взаємопов’язані пули посилюють окремі вразливості.
• Децентралізація проти безпеки: Зупинки зберігають кошти, але кидають виклик ідеалам.

Потрібні модульні дизайни, моніторинг у реальному часі та ZK-докази для перевірки доступу.