В Balancer розкрили причину зламу на $128 млн
Злам DeFi-протоколу Balancer стався через помилку в одному з ключових компонентів платформи — пулах Composable Stable. Про це повідомили розробники проєкту.
Вразливість дала зловмисникам змогу скористатися особливістю механізму відкладених розрахунків. Через помилку в коді ліквідність могла тимчасово опускатися нижче критичного мінімального порогу.
Під час окремих операцій обміну (EXACT_OUT) нецілі коефіцієнти масштабування спричиняли округлення значень у менший бік. У накопиченні ці розбіжності створювали можливість для маніпуляцій балансами пулів, що й дозволило хакерам вивести кошти.
Спершу активи переміщувалися на внутрішні рахунки сховища Balancer v2, після чого виводилися окремими транзакціями.
Основний удар припав на пули Composable Stable v5, у яких сплив термін дії захисного періоду. Пули v6 уникли масштабного виснаження завдяки системі екстреного реагування Hypernative, що автоматично призупинила їхню роботу.
«Інцидент зачепив виключно Composable Stable Pools у Balancer v2 та їхні форки в інших мережах: BEX і Beets. Balancer v3 та інші типи пулів не зазнали атаки», — зазначила команда протоколу.
Масштаб інциденту
Щоб протидіяти загрозі, інші партнери Balancer також вжили низку заходів. Зокрема:
- StakeWise DAO повернула близько $19 млн в osETH і $1,7 млн в osGNO — 73,5% від вкраденого обсягу osETH;
- валідатори Berachain зупинили роботу мережі для хардфорка, який усунув вразливість у BEX v2;
- Sonic Labs заморозила гаманці, пов’язані з підозрюваним зловмисником, і заблокувала рух коштів у своєму форку Balancer;
- Gnosis запровадила тимчасові обмеження на роботу мосту;
- Monerium заморозила 1,3 млн EURe на рахунку ураженого сховища.
Завдяки зусиллям BitFinding і MEV-ботів Base повернули близько $750 000.
За словами розробників, ухвалена раніше правова структура Safe Harbor (BIP-726) «суттєво покращила швидкість і координацію реагування».
Точна сума повернених коштів поки невідома. Команда Balancer пообіцяла відзвітувати про остаточні втрати й відновлені активи після завершення аудиту.
Нагадаємо, DeFi-протокол зазнав зламу 3 листопада. Атака тривала кілька годин.