- Страты ад эксплойту Balancer павялічыліся з першапачатковых ацэнак у 70 мільёнаў долараў да больш чым 128 мільёнаў долараў.
- Верагоднай прычынай быў збой кантролю доступу ў V2, які дазволіў несанкцыянаванае зняцце сродкаў.
- Гэта закранула некалькі сетак: Ethereum, Berachain, Arbitrum, Base, Sonic, Optimism і Polygon.
- Пратакол прапаноўваў узнагароду ў памеры 20%; токен BAL упаў, і Berachain перажыў аварыйнае адключэнне.
El пратакол дэцэнтралізаваных фінансаў Balancer зарэгістраваўся адзін з найбуйнейшых інцыдэнты бяспекі да даты, з нападам, пра які пачалі паведамляць прыкладна 70 мільёнаў долараў і што, згодна з самымі апошнімі кансалідаванымі дадзенымі, Гэта лёгка перавысіла б 128 мільёнаў актываў, пераведзеных у новыя партфелі.
Выдзеленыя сродкі ўключаюць osETH, WETH і wstETHі яны б адышлі ў асноўным ад пулы версіі V2Шкоднасная актыўнасць распаўсюдзілася па некалькіх сетках, у той час як токен BAL Ён пацярпеў ад падзенняў унутры дня і карыстальнікі чакалі афіцыйных пацверджанняў сапраўдных маштабаў інцыдэнту.
Як адбыўся напад
Пачатковыя аналізы паказваюць на няспраўны кантроль доступу у функцыі manageUserBalance праграмы Balancer V2Уразлівасць узнікала б у validateUserBalanceOp, няправільна параўноўваючы msg.sender con un адпраўнік прадастаўлена карыстальнікам, што дазволіла б несанкцыянаванае зняцце сродкаў праз аперацыю Тып_балансу_карыстальніка.WITHDRAW_INTERNAL.
Гэты вектар адкрыў дзверы для зламыснікаў рухі ўнутранай раўнавагі непасрэдна з кантрактаў без належных дазволаў. Сховішча V2 —цэнтральны кантракт, які змяшчае токены кожнага пула — апынуўся ў цэнтры ўвагі, закранаючы не толькі Balancer, але і паслугі, пабудаваныя на яго архітэктуры.
Паралельна былі выяўленыя наступныя апаражненні сховішчаў у такіх сетках, як Сонік, палігон і базаГэта ўзмацняе ўзаемазвязаны характар экасістэмы DeFi. Адрас аператара Яна пачала хутка кансалідаваць актывы, што павялічвае рызыку яго наступнага заблытвання праз змяшальнікі або масты паміж ланцугамі.
Спецыялізаваныя каманды бяспекі, у тым ліку Decurity і аналітыкі дадзеных у блокчэйне, працягваюць адсочваць паток сродкаў і патэнцыйны ланцужок транзакцый з мэтай стварэнне профілю зламысніка і дакладнае вызначэнне зоны парушэння.
Маштаб шкоды і яе размеркаванне па ланцужках паставак
Паводле апошніх ацэнак, агульная колькасць злітай вады дасягае каля 128,64 млрд даляраў, з дамінуючай вагой Ethereum і значны ўплыў на некалькі сетак L2 і сумяшчальных з імі сетак. Таксама было пацверджана, што Буракі ФінансыВытворны праект панёс страты, якія перавышаюць 3 мільёнаў.
- Ethereum: ~99,6 млн
- Берачэйн: ~12,86 млн
- Arbitrum: ~6,96 млн
- Base: ~4,01 млн
- Сонік: ~3,44 млн
- Optimism: ~1,58 млн
- Polygon: ~232.350
Сярод выцесненых актываў вылучаліся наступныя: 6.850 osETH, 6.590 WETH y 4.260 wstETH, перададзеныя ў хуткай паслядоўнасці ў новыя партфелі, што адпавядае заканамернасці, якая адпавядае зламысніку, добра знаёмаму з логікай кантрактаў і складам пулаў.
Каб стымуляваць вяртанне сродкаў, каманда Balancer прапанавала 20% узнагарода en formato white hatпры ўмове неадкладнага вяртання астатняга капіталу. У адваротным выпадку было зроблена папярэджанне аб супрацоўніцтве з крыміналістыка блокчэйна і ўлады каб вызначыць адказную асобу.
Уплыў распаўсюдзіўся і на інфраструктуру: Berachain выканаў экстраны арышт і а hard fork накіравана на абмежаванне ўплыву на канкрэтныя актывы ў сваёй роднай DEX, з абавязацельствам аднавіць працу сеткі пасля аднаўлення пацярпелых сродкаў.
Рэакцыя пратакола і рынкавыя наступствы
Каманда паказала, што басейны V2 былі закранутыпакуль V3 заставаўся ў працоўным стане і без пашкоджанняў, і паведаміў, што яго інжынерныя і ахоўныя зоны расследуюцца ў прыярытэтным парадку для вызначэння мер стрымлівання і магчымых шляхоў эвакуацыі.
На рынку токен BAL registró зніжэнне больш чым на 5% пасля таго, як стала вядома пра напад, ва ўмовах шырока распаўсюджанай асцярожнасці ў грамадстве DeFiАналітыкі блокчэйна рэкамендавалі пазбягаць узаемадзеяння з пуламі Balancer, пакуль не будзе даступная поўная тэхнічная інфармацыя.
Гэты інцыдэнт дапаўняе папярэднія эпізоды: у 2020Атака выкарыстоўвала апрацоўку дэфляцыйных токенаў на працягу прыблізна 375 000 долараў ЗША; У agosto de 2023 страты амаль 1 millón з-за ўразлівасці ў палепшаныя пулыі ў тым жа годзе Атака на DNS перанакіраваны на вэб-сайт phishing, з прыблізнай здабычай 375 000 долараў ЗША.
Para usuarios de Іспанія і ЕСГэтая справа зноў адкрывае дыскусію аб кіраванні рызыкамі ў кампазітных пратаколах і неабходнасці гнуткіх аўдытаў, інструменты абароны карыстальнікаў і міжпратакольную каардынацыю ў адпаведнасці з еўрапейскім рэгулятыўным імпульсам (MiCA) у бок больш патрабавальных стандартаў бяспекі.
З ужо вышэйшымі стратамі 128 мільёнаў І ўлічваючы актыўнае расследаванне, эпізод з Balancer прапануе некалькі ўрокаў: важнасць надзейнага кантролю доступу ў крытычна важных функцыях, пастаянны перагляд састарэлых кантрактаў у V2і падрыхтоўка скаардынаваных мер рэагавання, у тым ліку магчымасць Узнагароды «Белы капялюш»— каб паменшыць шкоду і аднавіць давер.
Я энтузіяст тэхналогій, які ператварыў свае інтарэсы "гікаў" у прафесію. Я правёў больш за 10 гадоў свайго жыцця, выкарыстоўваючы перадавыя тэхналогіі і важдаючыся з рознымі праграмамі з чыстай цікаўнасці. Цяпер я спецыялізаваўся на камп'ютарных тэхналогіях і відэагульнях. Гэта таму, што больш за 5 гадоў я працаваў для розных вэб-сайтаў, прысвечаных тэхналогіям і відэагульням, ствараючы артыкулы, якія імкнуцца даць вам неабходную інфармацыю на мове, зразумелай кожнаму.
Калі ў вас ёсць якія-небудзь пытанні, я ведаю ўсё, што звязана з аперацыйнай сістэмай Windows і Android для мабільных тэлефонаў. І я перад вамі абавязаны: я заўсёды гатовы выдаткаваць некалькі хвілін і дапамагчы вам вырашыць любыя пытанні, якія могуць узнікнуць у гэтым свеце Інтэрнэту.