Problem z kodem Balancer spowodował straty przekraczające 100 milionów, co stanowi niemal niszczycielski cios dla branży DeFi.

Oryginalny tytuł: „Upadek klasycznego DeFi: luka w kontrakcie Balancer V2, skradziono ponad 1.1 miliarda dolarów aktywów”

Oryginalny autor: Wenser, Odaily

Notatka: Dziś protokół DeFi Balancer padł ofiarą ataku hakerskiego, a obecnie skradzione środki przekroczyły 1.16 miliarda dolarów. Wiele projektów podjęło działania ratunkowe: Lido wycofało swoje niezagrożone pozycje z Balancer, natomiast Berachain ogłosił natychmiastowe wstrzymanie działania sieci w celu przeprowadzenia pilnego hard forka i naprawy luki związanej z Balancer V2 na BEX.

Ponadto, dyrektor strategiczny Flashbots i doradca strategiczny Lido, Hasu, napisał: „Balancer v2 został uruchomiony w 2021 roku i od tego czasu stał się jednym z najbardziej obserwowanych i najczęściej forkujących smart kontraktów. To bardzo niepokojące. Za każdym razem, gdy tak długo działający kontrakt zostaje zaatakowany, proces adopcji DeFi cofa się o 6 do 12 miesięcy.” Oto oryginalna treść:

3 listopada, klasyczny protokół DeFi Balancer został zaatakowany, a skradzione aktywa przekroczyły 70 milionów dolarów. Następnie informacja ta została potwierdzona przez wiele źródeł, a skala skradzionych środków stale rosła. W chwili pisania tego tekstu, suma skradzionych aktywów Balancer przekroczyła już 1.16 miliarda dolarów. Odaily przedstawia krótką analizę tego wydarzenia.

Szczegóły kradzieży Balancer: straty przekraczają 1.16 miliarda dolarów, główną przyczyną luka w smart kontrakcie v2 pool

Zgodnie z informacjami on-chain, skala środków skradzionych przez atakującego Balancer przekroczyła już 1.16 miliarda dolarów, a główne skradzione aktywa to WETH, wstETH, osETH, frxETH, rsETH, rETH, rozproszone na wielu łańcuchach, takich jak ETH, Base, Sonic, w tym:

· Skradzione aktywa na łańcuchu Ethereum: około 100 milionów dolarów;

· Skradzione aktywa na łańcuchu Arbitrum: około 8 milionów dolarów;

· Skradzione aktywa na łańcuchu Base: około 3.95 miliona dolarów;

· Skradzione aktywa na łańcuchu Sonic: ponad 3.4 miliona dolarów;

· Skradzione aktywa na łańcuchu Optimism: około 1.57 miliona dolarów;

· Skradzione aktywa na łańcuchu Polygon: około 230 tysięcy dolarów.

Kryptowalutowy KOL Adi napisał, że wstępne dochodzenie wykazało, iż atak był wymierzony głównie w skarbiec Balancer V2 i pule płynności, wykorzystując lukę w interakcji smart kontraktów. Badacze on-chain wskazali, że złośliwie wdrożony kontrakt zmanipulował wywołanie Vault podczas inicjalizacji puli płynności. Nieprawidłowe autoryzacje i obsługa callbacków pozwoliły atakującemu obejść zabezpieczenia, umożliwiając nieautoryzowane swapy lub manipulacje saldami pomiędzy połączonymi pulami płynności, co pozwoliło na szybkie wykradzenie środków w ciągu kilku minut.

Z obecnych informacji wynika, że nie doszło do wycieku kluczy prywatnych – była to czysta luka w smart kontrakcie.

Audytor z firmy kebabsec oraz deweloper citrea @okkothejawa również napisał: „(Błąd sprawdzania wspomniany przez @moo9000) może nie być główną przyczyną, ponieważ we wszystkich wywołaniach 'manageUserBalance' ops.sender == msg.sender. Luka bezpieczeństwa mogła wystąpić w transakcji przed utworzeniem kontraktu do wypłaty aktywów, ponieważ spowodowała pewne zmiany stanu w skarbcu Balancer.”

Oficjalne konto Balancer również odpowiedziało: „Oficjalny zespół jest świadomy potencjalnej luki wpływającej na pule Balancer v2. Nasze zespoły inżynieryjne i bezpieczeństwa prowadzą dochodzenie z najwyższym priorytetem. Gdy tylko uzyskamy więcej informacji, natychmiast podzielimy się zweryfikowanymi aktualizacjami i kolejnymi krokami.”

Berachain, który również był narażony na potencjalne ryzyko utraty aktywów, natychmiast zareagował. Po publikacji przez Berachain Foundation, założyciel Berachain Smokey The Bera ogłosił: „Grupa węzłów Bera dobrowolnie wstrzymała działanie publicznego łańcucha, aby zapobiec wpływowi luki Balancer na BEX (głównie na pulę USDe).

· Poproszono zespół Ethena o wyłączenie mostu Bera

· Rynek pożyczkowy wyłączył/zawiesił depozyty USDe

· Wstrzymano mintowanie i wymianę tokenów HONEY

· Skontaktowano się z CEX i innymi, aby upewnić się, że adresy hakerów zostały dodane do czarnej listy

Naszym celem jest jak najszybsze odzyskanie środków i zapewnienie bezpieczeństwa wszystkim LP. Zespół Berachain opublikuje pliki binarne dla odpowiednich walidatorów i dostawców usług, gdy tylko będą gotowe (ponieważ pula zawiera nie-natywne aktywa, wymaga to pewnych zmian w slotach, a nie tylko modyfikacji salda tokenów Bera).”

Po kradzieży Balancer najbardziej zaniepokojeni są kryptowalutowi wieloryby

Jako klasyczny protokół DeFi, użytkownicy Balancer są bez wątpienia najbardziej bezpośrednio dotknięci tą kradzieżą. Obecnie użytkownicy mogą podjąć następujące działania:

· Wycofać środki z puli Balancer v2, aby uniknąć dalszych strat;

· Odwołać autoryzacje: użyć Revoke, DeBank lub Etherscan, aby anulować uprawnienia smart kontraktów dla adresu Balancer i uniknąć potencjalnych zagrożeń bezpieczeństwa;

· Zachować czujność: uważnie śledzić kolejne ruchy atakującego Balancer oraz sprawdzać, czy nie wpłynie to na inne protokoły DeFi.

Ponadto, w tym incydencie uwagę rynku przyciągnął kryptowalutowy wieloryb, który spał przez 3 lata.

Zgodnie z monitoringiem LookonChain, pewien kryptowalutowy wieloryb 0x0090, który był nieaktywny przez 3 lata, właśnie się obudził po wykryciu luki na platformie Balancer i pilnie wycofał swoje aktywa o wartości 6.5 miliona dolarów.

Dalszy rozwój: haker rozpoczął wymianę tokenów

Zgodnie z monitoringiem analityka on-chain Yu Jin, haker stojący za kradzieżą Balancer zaczął już próbować wymieniać różne tokeny płynnościowe (LST) na ETH, wcześniej zamieniając 10 osETH na 10.55 ETH.

Dane on-chain pokazują, że haker nieustannie wymienia skradzione aktywa z różnych łańcuchów na ETH, USDC i inne aktywa za pośrednictwem Cow Protocol. Na ten moment szanse na odzyskanie tych środków wydają się nikłe.

W przyszłości, czy Balancer zdoła szybko zidentyfikować lukę w kontrakcie protokołu i odzyskać skradzione aktywa lub zapewnić odpowiednie rozwiązania, Odaily będzie nadal monitorować sprawę.

Oryginalny link