Взлом Balancer привёл к убыткам свыше 100 миллионов долларов, нанеся сокрушительный удар индустрии DeFi

Original Article Title: "Veteran DeFi Compromised: Balancer V2 Contract Vulnerability, Over $110 Million in Assets Stolen"

Original Article Author: Wenser, Odaily Planet Daily

Примечание редактора: Сегодня протокол DeFi Balancer стал жертвой взлома, и сумма украденных средств уже превысила 116 миллионов долларов. Несколько проектов приняли меры по устранению последствий: Lido вывел свою не затронутую позицию в Balancer, а Berachain объявил о приостановке работы сети для проведения экстренного хардфорка с целью устранения уязвимости, связанной с Balancer V2, на BEX.

Кроме того, Hasu, стратегический директор Flashbots и стратегический советник Lido, выразил в посте следующее: "Balancer v2 был запущен в 2021 году и с тех пор стал одним из самых пристально отслеживаемых и часто форкаемых смарт-контрактов. Это вызывает серьёзную обеспокоенность. Каждый раз, когда взламывают контракт, который работает так долго, это отбрасывает внедрение DeFi на 6–12 месяцев назад." Далее приводится оригинальный контент:

3 ноября стало известно, что у ветерана DeFi-протокола Balancer было украдено более 70 миллионов долларов активов. Впоследствии эта новость была подтверждена несколькими источниками, а сумма украденных средств продолжала расти. На момент написания статьи сумма украденных активов у Balancer превысила 116 миллионов долларов. Odaily кратко анализирует этот инцидент в данной статье.

Детали взлома Balancer: Потери превышают 116 миллионов долларов, основной причиной стала уязвимость смарт-контракта пула v2

Согласно информации из блокчейна, злоумышленник Balancer на данный момент похитил активы на сумму более 116 миллионов долларов, при этом основными украденными активами являются WETH, wstETH, osETH, frxETH, rsETH, rETH, распределённые по нескольким сетям, таким как ETH, Base, Sonic и др., где:

· Активы, украденные в сети Ethereum: примерно 100 миллионов долларов;

· Активы, украденные в сети Arbitrum: почти 8 миллионов долларов;

· Активы, украденные в сети Base: почти 3,95 миллиона долларов;

· Активы, украденные в сети Sonic: более 3,4 миллиона долларов;

· Активы, украденные в сети Optimism: почти 1,57 миллиона долларов;

· Кража активов в сети Polygon: примерно 230 000 долларов.

Крипто-KOL Adi сообщил, что первоначальное расследование указывает на то, что атака была нацелена в первую очередь на хранилище Balancer V2 и пул ликвидности, используя уязвимость во взаимодействии смарт-контрактов. Исследователи блокчейна отметили, что вредоносно развернутый контракт манипулировал вызовом Vault во время инициализации пула. Неправильная авторизация и обработка обратных вызовов позволили злоумышленнику обойти защитные меры, что дало возможность несанкционированных обменов между связанными пулами ликвидности или манипуляций с балансами, что привело к быстрой краже активов за считанные минуты.

На основании имеющейся информации нет доказательств компрометации приватных ключей; это исключительно уязвимость смарт-контракта.

Аудитор аудиторской компании kebabsec и разработчик citrea @okkothejawa также отметил: "Ошибка проверки, упомянутая @moo9000, возможно, не является коренной причиной, так как во всех вызовах 'manageUserBalance' ops.sender == msg.sender. Уязвимость безопасности могла возникнуть в транзакции до создания контракта, который извлекает активы, так как это привело к некоторым изменениям состояния в хранилище Balancer."

Официальный ответ Balancer гласит: "Наша команда осведомлена о потенциальной уязвимости, затрагивающей пулы Balancer v2. Наши инженерные и службы безопасности активно проводят приоритетное расследование. Как только у нас появится больше информации, мы немедленно поделимся подтверждёнными обновлениями и дальнейшими шагами."

Berachain, который также столкнулся с потенциальными рисками потери активов, оперативно отреагировал. После публикации Berachain Foundation основатель Berachain Smokey The Bera заявил: "Группа узлов Bera проактивно приостановила работу публичной цепи, чтобы предотвратить влияние уязвимости Balancer на BEX (в основном на трипул USDe).

· Дать указание команде Ethena отключить мост Bera

· Отключить/приостановить депозиты USDe на кредитном рынке

· Приостановить выпуск и обмен токенов HONEY

· Связаться с CEX и убедиться, что адреса хакеров занесены в чёрный список

Наша цель — как можно быстрее вернуть средства и обеспечить безопасность всех LP. Команда Berachain немедленно выпустит бинарные файлы для соответствующих валидаторов узлов и поставщиков услуг, как только они будут готовы (так как этот пул содержит не нативные активы, потребуется некоторая перенастройка слотов, а не просто изменение баланса токенов Bera)."

Взлом Balancer: Криптовалютные киты наиболее обеспокоены

Как устоявшийся DeFi-протокол, пользователи Balancer, безусловно, наиболее непосредственно пострадали от этого взлома. Для текущих пользователей возможные действия включают:

· Вывести средства из пулов Balancer v2, чтобы предотвратить дальнейшие потери;

· Отозвать авторизацию: использовать Revoke, DeBank или Etherscan для отзыва разрешений смарт-контракта с адреса Balancer, чтобы избежать потенциальных рисков безопасности;

· Оставаться бдительными: внимательно следить за дальнейшими действиями злоумышленника Balancer и возможным каскадным влиянием на другие DeFi-протоколы.

Кроме того, в ходе этого взлома внимание привлёк криптовалютный кит, который не проявлял активности в течение 3 лет.

Согласно мониторингу LookonChain, криптокит, бездействовавший 3 года с адресом 0x009023dA14A3C9f448B75f33cEb9291c21373bD8, внезапно активизировался после обнаружения уязвимости на платформе Balancer. Кит стремится вывести свои связанные активы на сумму 6,5 миллиона долларов из Balancer. Информация из блокчейна:

Последние события: Хакер начал обмен токенов

Согласно мониторингу аналитика Yu Jin, хакер, совершивший взлом Balancer, начал попытки обмена множества токенов с ликвидным стейкингом (LST) на ETH. Ранее хакер обменял 10 osETH на 10,55 ETH.

Данные из блокчейна показывают, что хакер продолжает обменивать украденные активы через несколько сетей на ETH, USDC и другие активы с использованием Cow Protocol. На данный момент надежда на возврат этих украденных активов кажется призрачной.

В будущем, сможет ли Balancer оперативно выявить уязвимость протокольного контракта и быстро вернуть украденные активы или предложить соответствующее решение, Odaily продолжит следить за развитием событий.