Balancer зазнав хакерської атаки на 116 мільйонів доларів США, міф безпеки Децентралізованих фінансів знову руйнується?

“Кожного разу, коли контракт із такою тривалістю запуску зазнає атаки, це відкидає процес впровадження DeFi на 6-12 місяців,” — таку думку висловив стратегічний директор Flashbots, радник Lido Hasu після злома Balancer.

3 листопада старий протокол DeFi Balancer зазнав безпрецедентної хакерської атаки, внаслідок якої було вкрадено до 116,6 мільйонів доларів.

Ці великі активи швидко були викрадені через вразливість у крос-ланцюговому відкаті, яка існувала у смарт-контракті пулу Balancer V2. Станом на 4 листопада хакери через Cow Protocol обмінювали викрадені активи на ETH.

01 Огляд подій: миттєве зникнення великих сум

Атака на Balancer 3 листопада викликала бурхливу реакцію у криптосвіті. Спочатку викрадено близько 70 мільйонів доларів, але згодом сума зросла.

На момент написання статті збитки сягнули 116,6 мільйонів доларів, що стало найсерйознішою безпековою подією в історії Balancer.

На блокчейні видно, що основними активами, викраденими зловмисниками, були WETH, wstETH, osETH, frxETH, rsETH, rETH та інші ліквідні стейкінгові токени.

Ці активи розподілені по кількох ланцюгах, таких як ETH, Base, Sonic, але найбільші втрати зафіксовані в мережі Ethereum — майже 100 мільйонів доларів.

02 Аналіз вразливості: катастрофа через низький рівень безпеки

Фахівці з безпеки швидко визначили джерело вразливості. За аналізом компаній Defimon Alerts і Decurity, проблема полягала у контролі доступу до функції manageUserBalance протоколу Balancer V2.

При перевірці прав на зняття коштів система повинна була перевірити, чи є виконавець дійсним власником акаунта, але код помилково перевіряв, чи співпадає msg.sender (фактичний виконавець) з параметром op.sender, який надає користувач.

Оскільки op.sender є контрольованим користувачем входом, зловмисник міг підробити особу і обійти перевірку прав.

Ця базова помилка контролю доступу у вже зрілому протоколі, що працює 5 років, викликала здивування у фахівців з безпеки.

03 Історія: шість безпекових інцидентів за шість років

Якщо ви знайомі з назвою “Balancer був зломаний,” це цілком логічно. Це вже шоста безпекова інцидент за п’ять років існування Balancer.

Історія показує, що безпека Balancer залишає бажати кращого:

• Червень 2020: вразливість у дефляційних токенах, збитки близько 520 тисяч доларів
• Березень 2023: через інцидент Euler постраждали, збитки близько 11,9 мільйонів доларів
• Серпень 2023: вразливість у V2 пулі, збитки близько 2,1 мільйонів доларів
• Вересень 2023: DNS-атака, збитки близько 240 тисяч доларів
• Червень 2024: злом форку Velocore, збитки близько 6,8 мільйонів доларів

Ці інциденти підкреслюють вразливість Balancer і всього DeFi-екосистеми.

04 Вплив на ринок: втрата довіри та різке падіння цін

Ринок реагував миттєво і гостро. За даними CoinMarketCap, токен BAL (Balancer) 3 листопада впав на 7,13%, до 0,92 долара.

Ринкова капіталізація BAL становить близько 62,2 мільйонів доларів, що на 4,775 мільйонів менше за попередній день. За даними Gate, ціна BAL тримається під тиском.

Довіра до безпеки Balancer серйозно постраждала, інвестори активно коригують свої позиції, спостерігається значний тиск на продаж.

Цікаво, що за даними LookonChain, один із “китів,” який не активувався три роки, прокинувся після вразливості Balancer і почав швидко виводити активи на суму 6,5 мільйонів доларів.

05 Наслідки для галузі: саморятівні заходи та призупинення роботи

У відповідь на кризу кілька проектів, інтегрованих з Balancer, почали заходи самозахисту:

• Lido вивела свої незатронуті позиції у Balancer
• Berachain оголосила про тимчасове призупинення мережі для термінового форку з метою виправлення вразливості у BEX та Balancer V2
• Засновник Berachain Smokey The Bera повідомив, що команда Ethena заборонила створювати мости Bera і призупинила операції на відповідних ринках

Ці дії демонструють важливу роль Balancer у DeFi-екосистемі і показують, що вразливість одного протоколу може спричинити системний ризик.

06 Майбутнє безпеки DeFi: від технічного боргу до управління ризиками

Однією з інновацій Balancer — можливість створювати пул із до 8 токенами з налаштованими вагами — стала його слабким місцем.

На відміну від простого дизайну Uniswap, складність Balancer зростає експоненційно. З кожним додаванням токена простір стану пулу швидко зростає, збільшуючи поверхню атаки.

Balancer обрав шлях швидких ітерацій. Від V1 до V2, потім до різних Boosted Pool, кожне оновлення накладало нові функції на старий код.

Це накопичення “технічного боргу” зробило кодову базу вразливою до зломів.

До 2025 року безпека DeFi стикнеться з новими викликами. Атака TEE.Fail показує, що навіть апаратні засоби безпеки можна обійти за допомогою інструментів вартістю 1000 доларів.

Загрози зросли з вразливостей у смарт-контрактах до операційних помилок: 80,5% збитків тепер припадає на фішинг, фальшиві аірдропи і витік приватних ключів.

Щоб протистояти цим викликам, застосовуються новітні технології, такі як zk-протоколи та мультипідписні гаманці, що зменшили втрати від вразливостей на 90% з 2020 року.

07 Посібник для інвесторів: обережність у ризиках

Для інвесторів ця подія знову стала тривожним дзвінком. У світі DeFi потрібно пам’ятати:

• Вивести кошти з постраждалих пулів: негайно з Balancer V2 вивести активи, щоб уникнути подальших втрат
• Скасувати дозволи: за допомогою Revoke, DeBank або Etherscan скасувати дозволи смарт-контрактів Balancer
• Обирати проекти з аудитами: звертати увагу на протоколи, що мають аудит смарт-контрактів, моніторинг у реальному часі та аварійні механізми
• Використовувати мультипідписні гаманці: зменшити ризик єдиної точки відмови, особливо для великих позицій

Майбутнє

Станом на 4 листопада хакери Balancer почали через Cow Protocol обмінювати викрадені крос-ланцюгові активи на ETH. Аналізатор у блокчейні, Yuren, зафіксував, що зловмисники постійно обмінюють активи з різних ланцюгів на ETH, USDC та інші основні активи.

Офіційний представник Balancer заявив, що готовий виплатити 20% викрадених активів у якості винагороди для повернення коштів, але ця пропозиція дійсна лише протягом 48 годин. На даний момент шанси повернути викрадені активи стають все менш імовірними.

Для спостерігачів DeFi — це новий соціальний експеримент; для учасників — дорогий урок; для галузі — необхідний внесок у зрілість.