Balancer a subi une attaque de 128 millions de dollars par un Hacker : les détails de la vulnérabilité des smart contracts ont été révélés.

Cet incident de sécurité dans la Finance décentralisée a pris tout le monde un peu au dépourvu. Le protocole de market making Balancer vient d'être vidé de plus de 128 millions de dollars par un Hacker, et les fonds continuent d'être transférés en continu du Portefeuille de l'attaquant.

Comment l'attaque s'est-elle produite

Selon l'analyse de l'équipe de sécurité en chaîne, il ne s'agit pas d'une fuite de clé privée classique, mais d'une attaque purement liée au protocole intelligent. L'attaquant a déployé un contrat malveillant et a commencé à faire des siennes lors de la phase d'initialisation du pool de liquidités de Balancer V2.

Plus précisément :

Vulnérabilité principale : contrôle d'accès inadéquat + défaut de gestion des fonctions de rappel. L'attaquant a contourné les mécanismes de sécurité existants en manipulant le processus de rappel des interactions de contrat, créant ainsi un “festin d'arbitrage” entre les pools de liquidité interconnectés - vidant les actifs en quelques minutes.

Détails techniques : L'absence de vérification des autorisations lors de l'appel entre contrats à l'initialisation a permis à un hacker de falsifier des transactions et de modifier les données de solde dans le portefeuille. Cela a conduit à une série d'échanges de tokens non autorisés et de transferts de fonds.

Détails des actifs vidés

Hacker cette fois-ci a eu des gains assez riches :

• Chaîne Ethereum : plus de 70 millions de dollars (principalement en ETH et ses dérivés, y compris wETH, stETH, osETH, frxETH, rsETH, rETH, etc.)
• Base + Sonic : environ 7 millions de dollars
• Autres chaînes : environ 2 millions de dollars

Environ 116 à 128 millions de dollars.

Pourquoi Balancer est-il si facile à exploiter

Les caractéristiques de conception du protocole Balancer sont en fait devenues son “point faible” - l'interaction entre les pools est conçue de manière très étroite, ce qui peut améliorer l'efficacité du capital dans des conditions normales, mais une fois qu'elle est exploitée de manière malveillante, cela devient le catalyseur d'une “réaction en chaîne”.

Le PDG Deddy Lavid a déclaré que cette attaque était due à une faille dans le mécanisme de contrôle d'accès, permettant aux attaquants de manipuler directement les données de solde internes du protocole. Des vulnérabilités similaires ont également été observées chez d'autres teneurs de marché automatisés, généralement liées à la gestion des tokens et à la logique de rééquilibrage des pools.

Évolutions futures

Les fonds volés ont déjà été transférés vers un mélangeur ou un pont inter-chaînes, ce qui montre clairement qu'ils se préparent à être “blanchis”. L'équipe d'ingénierie et de sécurité de Balancer a lancé une enquête en priorité maximale.

Rappel : Cet événement souligne à nouveau que la sécurité des contrats intelligents en Finance décentralisée est toujours primordiale - peu importe la sophistication du design du protocole, une négligence dans une fonction de rappel peut permettre à un acteur de s'enfuir.