Balancer sufrió un ataque de hacker de 128 millones de dólares: se revelan los detalles de la vulnerabilidad de los contratos inteligentes

Este reciente incidente de seguridad en DeFi ha tomado a muchos por sorpresa. Balancer, este conocido protocolo de market making, fue recientemente vaciado por un hacker por más de 128 millones de dólares, y actualmente los fondos siguen fluyendo constantemente desde la billetera del atacante.

¿Cómo ocurrió el ataque?

Según el análisis del equipo de seguridad en la cadena, esto no es la táctica habitual de filtración de claves privadas, sino un ataque puramente a un contrato inteligente. El atacante desplegó un contrato malicioso y comenzó a hacer de las suyas durante la fase de inicialización del fondo en Balancer V2.

Específicamente:

Vulnerabilidad principal: Control de acceso inadecuado + Defectos en el manejo de funciones de retorno. Los atacantes manipularon el proceso de retorno de las interacciones del contrato, eludiendo los mecanismos de seguridad existentes, y crearon un “banquete de arbitraje” entre los grupos de liquidez interconectados, drenando los activos en cuestión de minutos.

Detalles técnicos: La llamada entre contratos durante la inicialización no realizó la verificación de autorización, lo que permitió a los atacantes falsificar transacciones y alterar los datos de saldo en el grupo. Esto llevó a una serie de intercambios de tokens no autorizados y transferencias de fondos.

Detalle de activos vaciados

El hacker ha tenido una buena cosecha esta vez:

• Cadena de Ethereum: más de 70 millones de dólares (principalmente ETH y sus derivados, incluyendo wETH, stETH, osETH, frxETH, rsETH, rETH, etc.)
• Base + Sonic: aproximadamente 7 millones de dólares
• Otras cadenas: aproximadamente 2 millones de dólares

Un total de aproximadamente entre 116 millones y 128 millones de dólares.

¿Por qué es tan fácil aprovechar Balancer?

Las características de diseño del protocolo Balancer se han convertido en su “talón de Aquiles”; la interacción entre los fondos está diseñada de manera muy estrecha, lo que puede aumentar la eficiencia del capital en condiciones normales, pero una vez que es explotado maliciosamente, se convierte en la mecha de una “reacción en cadena”.

El CEO Deddy Lavid expresó que este ataque se originó en la falla del mecanismo de control de acceso, lo que permitió a los atacantes manipular directamente los datos de saldo internos del protocolo. Vulnerabilidades similares también han aparecido en otros creadores de mercado automáticos, generalmente relacionadas con la lógica de manejo de tokens y el reequilibrio de pools.

Direcciones futuras

Los fondos robados ya han sido transferidos a un mezclador o puente cruzado, claramente preparándose para “blanquear”. El equipo de ingeniería y seguridad de Balancer ha iniciado la investigación con la máxima prioridad.

Aviso: Este evento demuestra una vez más que la seguridad de los contratos inteligentes en Finanzas descentralizadas siempre es lo más importante; por muy sofisticado que sea el diseño del protocolo, un descuido en una función de llamada puede permitir que el operador se escape.