El problema de código en Balancer causó pérdidas de más de 100 millones, un golpe casi devastador para la industria DeFi.

Título original: «El veterano DeFi cae: Vulnerabilidad en el contrato de Balancer V2, más de 1.1 billions de dólares en activos robados»

Autor original: Wenser, Odaily

Nota de Ritmo: Hoy, el protocolo DeFi Balancer sufrió un ataque de hackers, y el monto robado ya superó los 1.16 billions de dólares. Varios proyectos tomaron medidas de emergencia: Lido ya retiró sus posiciones no afectadas en Balancer; Berachain anunció directamente la suspensión de la red para realizar un hard fork de emergencia y reparar la vulnerabilidad relacionada con Balancer V2 en BEX.

Además, Hasu, director estratégico de Flashbots y asesor estratégico de Lido, publicó que «Balancer v2 se lanzó en 2021 y desde entonces se ha convertido en uno de los contratos inteligentes más observados y bifurcados. Esto es muy preocupante. Cada vez que un contrato con tanto tiempo en línea es atacado, el proceso de adopción de DeFi retrocede entre 6 y 12 meses.» A continuación, el contenido original:

El 3 de noviembre, el veterano protocolo DeFi Balancer fue víctima de un robo de más de 70 millones de dólares en activos. Posteriormente, la noticia fue confirmada por varias fuentes y la cantidad robada siguió aumentando. Al momento de escribir este artículo, el monto robado de Balancer ya supera los 1.16 billions de dólares. Odaily presenta un breve análisis de este suceso.

Detalles del robo a Balancer: pérdidas superiores a 1.16 billions de dólares, la causa principal es una vulnerabilidad en el contrato inteligente de los pools v2

Según información on-chain, el atacante de Balancer ya ha robado más de 1.16 billions de dólares, siendo los principales activos sustraídos WETH, wstETH, osETH, frxETH, rsETH, rETH, distribuidos en varias cadenas como ETH, Base, Sonic, entre otras. Entre ellas:

· Activos robados en la cadena de Ethereum: cerca de 100 millions de dólares;

· Activos robados en la cadena de Arbitrum: cerca de 8 millions de dólares;

· Activos robados en la cadena de Base: cerca de 3.95 millions de dólares;

· Activos robados en la cadena de Sonic: más de 3.4 millions de dólares;

· Activos robados en la cadena de Optimism: cerca de 1.57 millions de dólares;

· Activos robados en la cadena de Polygon: alrededor de 230 mil dólares.

El KOL cripto Adi publicó que la investigación preliminar muestra que el ataque se dirigió principalmente a las bóvedas y pools de liquidez V2 de Balancer, explotando una vulnerabilidad en la interacción de los contratos inteligentes. Investigadores on-chain señalaron que un contrato malicioso desplegado manipuló la llamada al Vault durante la inicialización del pool de liquidez. La autorización incorrecta y el manejo de callbacks permitieron al atacante eludir las medidas de protección, posibilitando swaps o manipulaciones de balances no autorizados entre pools de liquidez interconectados, robando activos rápidamente en cuestión de minutos.

Según la información disponible, no hubo filtración de claves privadas, se trata puramente de una vulnerabilidad en el contrato inteligente.

El auditor de kebabsec y desarrollador de citrea, @okkothejawa, también comentó: «(El error de verificación mencionado por @moo9000) puede que no sea la causa raíz, ya que en todas las llamadas a 'manageUserBalance' ops.sender == msg.sender. La vulnerabilidad de seguridad podría haberse producido en la transacción previa a la creación del contrato de extracción de activos, ya que provocó algunos cambios de estado en la bóveda de Balancer.»

El equipo oficial de Balancer también respondió: «El equipo oficial está al tanto de la posible vulnerabilidad que afecta a los pools v2 de Balancer. Nuestros equipos de ingeniería y seguridad están investigando con máxima prioridad. Compartiremos actualizaciones verificadas y los próximos pasos tan pronto como tengamos más información.»

Berachain, que también corre riesgo de pérdida de activos, respondió de inmediato. Tras la publicación de la fundación Berachain, el fundador Smokey The Bera declaró: «El grupo de nodos de Bera ha suspendido proactivamente la operación de la blockchain pública para evitar que la vulnerabilidad de Balancer afecte a BEX (principalmente el pool de USDe).

· Solicitar al equipo de Ethena deshabilitar el puente Bera

· Deshabilitar/pausar depósitos de USDe en el mercado de préstamos

· Pausar la acuñación y el canje del token HONEY

· Comunicarse con CEX y otros para asegurar que las direcciones de los hackers sean incluidas en listas negras

Nuestro objetivo es recuperar los fondos lo antes posible y garantizar la seguridad de todos los LP. El equipo de Berachain publicará los binarios a los validadores de nodos y proveedores de servicios tan pronto como estén listos (ya que este pool contiene activos no nativos, implica cierta reestructuración de slots, no solo modificar el balance de tokens Bera).»

Tras el robo a Balancer, los más preocupados son las ballenas cripto

Como protocolo DeFi veterano, los usuarios de Balancer son sin duda los más afectados directamente por este robo. Para los usuarios actuales, las acciones recomendadas incluyen:

· Retirar fondos de los pools v2 de Balancer para evitar mayores pérdidas;

· Revocar autorizaciones: usar Revoke, DeBank o Etherscan para cancelar los permisos de contrato inteligente de la dirección de Balancer y evitar riesgos de seguridad potenciales;

· Mantenerse atentos: seguir de cerca los próximos movimientos del atacante de Balancer y si esto podría desencadenar efectos en cadena en otros protocolos DeFi.

Además, este incidente de robo llamó la atención del mercado sobre una ballena cripto que llevaba 3 años inactiva.

Según el monitoreo de LookonChain, una ballena cripto 0x0090, que llevaba 3 años dormida, despertó justo después del incidente en Balancer y se apresuró a retirar sus activos relacionados por valor de 6.5 millions de dólares.

Desarrollo posterior: el hacker comienza a intercambiar tokens

Según el analista on-chain Yu Jin, el hacker del incidente de Balancer ya comenzó a intentar intercambiar varios tokens de staking líquido (LST) por ETH; anteriormente, cambió 10 osETH por 10.55 ETH.

La información on-chain muestra que el hacker está utilizando Cow Protocol para intercambiar los activos robados en varias cadenas por ETH, USDC y otros activos. Por ahora, las posibilidades de recuperar estos fondos parecen escasas.

En el futuro, si Balancer puede encontrar a tiempo la vulnerabilidad en el contrato del protocolo y recuperar los activos robados o proporcionar una solución correspondiente, Odaily continuará haciendo el seguimiento.

Enlace al artículo original