تعرض Balancer لهجوم هاكر بقيمة 128 مليون دولار: تفاصيل ثغرة العقود الذكية مكشوفة

أحداث الأمان في التمويل اللامركزي هذه كانت مفاجئة قليلاً. تم تفريغ بروتوكول بالانسير المعروف من قبل هاكر بمبلغ يزيد عن 1.28 مليون دولار، ولا تزال الأموال تتدفق باستمرار من المحفظة الخاصة بالهجوم.

كيف تحدث الهجمات

وفقًا لتحليل فريق الأمان على السلسلة، هذه ليست الطريقة المعتادة لتسريب المفاتيح الخاصة، بل هي هجوم نقي على العقد الذكي. قام المهاجم بنشر عقد خبيث، وبدأ في التلاعب خلال مرحلة إعداد مجموعة الأموال في Balancer V2.

بالتحديد:

نقطة الضعف الأساسية: التحكم غير المناسب في الوصول + عيوب في معالجة دالة الاسترجاع. تمكن المهاجمون من التلاعب بعملية الاسترجاع لتفاعل العقد، متجاوزين آليات الأمان الحالية، مما أدى إلى خلق “حفلة استغلال” بين أحواض السيولة المرتبطة - حيث تم سحب الأصول في غضون دقائق.

التفاصيل التقنية: لم يتم إجراء فحص التفويض بشكل صحيح عند استدعاء العقود أثناء التهيئة، مما سمح للمهاجمين بتزوير المعاملات، وتعديل بيانات أرصدة المسبح. أدى ذلك إلى سلسلة من عمليات تبادل الرموز غير المصرح بها وتحويلات الأموال.

تفاصيل الأصول المستنزفة

هاكر هذه المرة حصل على ثروة وفيرة:

• سلسلة الإيثيريوم: أكثر من 7000 دولار أمريكي (بشكل رئيسي ETH ومشتقاتها، بما في ذلك wETH وstETH وosETH وfrxETH وrsETH وrETH وغيرها)
• Base + Sonic: حوالي 7000000 دولار أمريكي
• سلاسل أخرى: حوالي 2000000 دولار أمريكي

إجمالي حوالي 1.16 مليار ~ 1.28 مليار دولار.

لماذا من السهل جدا استغلال Balancer

خصائص تصميم بروتوكول Balancer أصبحت في الحقيقة “نقطة ضعفه” - التفاعل بين البرك مصمم بشكل وثيق، مما يمكن أن يزيد من كفاءة رأس المال في الظروف العادية، لكن عندما يتم استغلاله بشكل خبيث، يصبح “شرارة” سلسلة من ردود الفعل.

صرح المدير التنفيذي ديدي لافيد أن هذا الهجوم ناتج عن فشل آلية التحكم في الوصول، مما سمح للمهاجمين بالتلاعب مباشرة ببيانات رصيد البروتوكول الداخلية. وقد ظهرت ثغرات مشابهة في صانعي السوق الآليين الآخرين، وعادة ما تكون مرتبطة بمنطق معالجة الرموز وإعادة توازن التجمع.

الاتجاهات المستقبلية

تم تحويل الأموال المسروقة إلى خلاط أو جسر عبر السلاسل، ومن الواضح أنها تستعد لـ"غسل" الأموال. بدأت فرق الهندسة والأمان في Balancer التحقيق بأعلى أولوية.

تنبيه: هذه الحادثة تؤكد مرة أخرى أن أمان العقود الذكية في التمويل اللامركزي هو دائمًا في المرتبة الأولى - مهما كانت تصميم البروتوكول قويًا، فإن غفلة في دالة الاسترجاع يمكن أن تجعل المتلاعب يهرب.