A história dos ataques ao antigo protocolo DeFi Balancer: 6 incidentes de segurança em 5 anos, com perdas totais de mais de 100 milhões de dólares.

O veterano protocolo DeFi Balancer sofreu 6 grandes incidentes de segurança nos últimos 5 anos, e o último ataque perdeu mais de US$ 100 milhões, revelando os riscos técnicos por trás da complexidade do DeFi. (Sinopse: Balancer hackeou US$ 116 milhões" resposta oficial foi investigada, consultor Lido: levará a adoção de DeFi recuado 1 ano) (Antecedentes adicionados: O antigo protocolo DeFi Balancer foi hackeado!) O dano ultrapassou US$ 116 milhões, mas o ataque continua) Para os espectadores, DeFi é um novo experimento social; Para os participantes, o roubo de DeFi é uma lição cara. O vazamento da casa coincidiu com a chuva da noite para o dia, e o hacker escolheu especificamente a queda. Na recente crise em todo o mercado de criptomoedas, o antigo protocolo DeFi foi duramente atingido. Em 3 de novembro, dados on-chain mostraram que o protocolo Balancer era suspeito de ter sido hackeado. Aproximadamente US$ 70,9 milhões em ativos foram transferidos para a nova carteira, incluindo 6.850 osETH, 6.590 WETH e 4.260 wstETH. Posteriormente, de acordo com o monitoramento da Lookonchain dos endereços de carteira em questão, o valor total do dano ao ataque ao protocolo subiu para US$ 116,6 milhões. A equipe do Balancer disse após o incidente: “Foi identificado um ataque de vulnerabilidade que pode afetar o pool do Balancer v2, e suas equipes de engenharia e segurança estão investigando esse incidente com alta prioridade e compartilharão atualizações verificadas e os próximos passos à medida que mais informações estiverem disponíveis.” Além disso, as autoridades também expressaram publicamente sua disposição de pagar 20% dos ativos roubados como uma recompensa de chapéu branco para recuperar ativos, que é válida por 48 horas. A resposta foi rápida, mas também oficial. No entanto, se você é um veterano DeFi, você não ficará surpreso com o título “Balancer hacked”, mas há uma estranha sensação de déjà vu. Como um protocolo DeFi veterano fundado em 2020, o Balancer chegou a ter 6 incidentes de segurança nos últimos 5 anos, com uma média de um show reservado patrocinado por hackers todos os anos, e desta vez é apenas a maior quantidade de dinheiro roubado. Olhando para a história, quando a situação do mercado torna a negociação difícil de se tornar infernal, é muito provável que haja arbitragem de interesse em DeFi e não é seguro. Junho de 2020: Vulnerabilidade de token deflacionário, perda de aproximadamente US$ 520.000 Em março de 2020, a Balancer entrou no mundo DeFi com a ideia inovadora de um “criador de mercado automatizado flexível”. Apenas três meses depois, no entanto, o ambicioso acordo teve seu primeiro pesadelo. Os atacantes exploraram o mau uso de tokens deflacionários do protocolo, causando perdas de cerca de US$ 520.000. O princípio geral é que, naquela época, um token chamado STA queimava automaticamente 1% como taxa para cada transferência. Os atacantes emprestaram 104.000 ETH de um empréstimo flash dYdX e, em seguida, negociaram entre STA e ETH 24 vezes. Uma vez que o Balancer não calculou corretamente o saldo real após cada transferência, o STA no pool acabou sendo esgotado para apenas 1 wei. Os atacantes então exploraram o grave desequilíbrio de preços e trocaram uma grande quantidade de ETH, WBTC, LINK e SNX com quantidades residuais de STA. Março de 2023: Incidente com Euler, perda de aproximadamente US$ 11,9 milhões Desta vez, Balancer foi uma vítima indireta. A Euler Finance sofreu um ataque de empréstimo relâmpago de US$ 197 milhões, e o pool bb-e-USD da Balancer foi implicado por deter o eToken da Euler. Quando Euler foi atacado, cerca de US$ 11,9 milhões foram transferidos do pool bb-e-USD da Balancer para Euler, ou 65% do TVL do pool. Embora a Balancer tenha suspendido urgentemente a piscina em questão, os danos foram irremediavelmente causados. Agosto de 2023: Vulnerabilidade de precisão do pool do Balancer V2, aproximadamente US$ 2,1 milhões em perdas Este ataque foi realmente prenunciado. Em 22 de agosto daquele ano, a Balancer divulgou voluntariamente a vulnerabilidade e alertou os usuários para desinvestir, mas o ataque ainda ocorreu 5 dias depois. A vulnerabilidade envolve um erro de arredondamento no V2 Boosted Pool. Através de manipulação precisa, o atacante enviesa o cálculo de fornecimento de BPT (Balancer Pool Token), de modo a retirar os ativos do pool a uma taxa de câmbio indevida. O ataque foi concluído por meio de várias transações de empréstimos relâmpagos, com estimativas de perdas variando de US$ 979.000 a US$ 2,1 milhões por diferentes empresas de segurança. Setembro de 2023: Ataque de sequestro de DNS com aproximadamente US$ 240.000 em danos Este é um ataque de engenharia social que visa não contratos inteligentes, mas a infraestrutura de rede tradicional. Os hackers usaram engenharia social para violar o registrador de domínios EuroDNS e sequestrar balancer.fi nomes de domínio. Os utilizadores são redirecionados para um site de phishing que usa um contrato malicioso Angel Drainer para enganar os utilizadores a autorizar transferências. Os atacantes então lavaram o dinheiro roubado através do Tornado Cash. Embora este assunto em si não seja o pote da Balancer, também é difícil evitar que as pessoas usem a marca do protocolo para pescar. Junho de 2024: Velocore hackeado, perdendo cerca de US$ 6,8 milhões Embora o Velocore seja um projeto independente, seu roubo não tem nada a ver com o Balancer. Mas como um fork do Balancer, o Velocore usa o mesmo design de pool CPMM (Constant Product Market Maker), que é um pouco na mesma linha, mais como roubar em outro lugar, mas o mecanismo está no Balancer. Desta vez, presumivelmente, o invasor explorou uma vulnerabilidade de estouro no contrato de pool CPMM no estilo Balancer da Velocore para manipular o multiplicador de taxas (feeMultiplier) para exceder 100%, resultando em erros de cálculo. Os atacantes acabaram roubando cerca de US$ 6,8 milhões por meio de empréstimos relâmpagos combinados com saques elaborados. Novembro de 2025: Último ataque, mais de 100 milhões de perdas O princípio técnico deste ataque foi preliminarmente esclarecido. De acordo com a análise dos pesquisadores de segurança, a vulnerabilidade está localizada na verificação de controle de acesso da função manageUserBalance no protocolo Balancer V2, que também corresponde à verificação de permissões do usuário. De acordo com a análise dos órgãos de segurança Defimon Alerts and Decurity, o sistema deveria verificar se o chamador era o verdadeiro proprietário da conta ao verificar as permissões de retirada do Balancer V2, mas o código verificava incorretamente se msg.sender (o chamador real) era igual ao parâmetro op.sender fornecido pelo próprio usuário. Como op.sender é um parâmetro de entrada controlável pelo usuário, os invasores podem forjar identidades à vontade, ignorar a verificação de permissão e executar WITHDRAW_INTERNAL (retiradas internas…