Từ Balancer đến Berachain, khi mạng lưới bị tạm ngưng hoạt động.

Hệ sinh thái DeFi lại trở thành tâm điểm của khủng hoảng.

Ngày 03 tháng 11 (UTC), nhiều dự án xây dựng trên Balancer V2 đã bị tấn công phức tạp, gây thiệt hại vượt 120 triệu USD. Sự cố không chỉ tác động đến Ethereum mainnet mà còn lan sang Arbitrum, Sonic và Berachain, đánh dấu một sự cố bảo mật nghiêm trọng tiếp theo đối với ngành sau các vụ hack Euler Finance và Curve Finance.

Theo phân tích ban đầu của BlockSec, đây là một “cuộc tấn công thao túng giá cực kỳ phức tạp.” Đối tượng tấn công đã lợi dụng logic tính giá của BPT (Balancer Pool Token), khai thác lỗi làm tròn trong biến số invariant để bóp méo giá, thực hiện lặp lại các giao dịch chênh lệch giá trong một batch swap.

Minh họa, vụ tấn công trên Arbitrum diễn ra qua ba bước:

• Đầu tiên, kẻ tấn công hoán đổi BPT lấy tài sản cơ bản, chỉnh chính xác số dư cbETH về sát ngưỡng làm tròn (khoảng 9 đơn vị) để chuẩn bị cho bước mất chính xác tiếp theo;
• Tiếp đó, một lượng cố định (=8) được hoán đổi giữa wstETH và cbETH. Khi điều chỉnh tỷ lệ, làm tròn xuống khiến Δx giảm nhẹ, dẫn đến Δy bị đánh giá thấp, làm nhỏ invariant D và kéo giá lý thuyết của BPT xuống;
• Cuối cùng, tài sản cơ bản được hoán đổi về BPT, thu lợi từ giá bị hạ thấp nhân tạo.

Tóm lại, đây là cuộc tấn công chính xác nằm ở giao điểm giữa toán học và lập trình.

Đội ngũ Balancer xác nhận V2 Composable Stable Pools đã bị khai thác. Họ đang phối hợp với các chuyên gia bảo mật hàng đầu để điều tra, cam kết công bố phân tích đầy đủ sau sự cố và đã đóng băng khẩn cấp mọi pool bị ảnh hưởng có thể tạm dừng. Chỉ V2 Composable Stable Pools bị ảnh hưởng; Balancer V3 và các loại pool khác không bị tác động.

Sau vụ khai thác Balancer V2, tất cả dự án fork từ Balancer đều rơi vào khủng hoảng. Theo DeFiLlama, đến ngày 04 tháng 11 (UTC), tổng giá trị khóa (TVL) của các dự án liên quan giảm còn khoảng 49,34 triệu USD, tức giảm 22,88% chỉ trong một ngày. BEX, DEX gốc của Berachain, chứng kiến TVL giảm 26,4% xuống 40,27 triệu USD, vẫn chiếm 81,6% TVL hệ sinh thái nhưng dòng tiền vẫn tiếp tục rút vì chuỗi dừng và thanh khoản đóng băng. Beets DEX còn chịu thiệt hại nặng hơn, với TVL lao dốc 75,85% trong 24 giờ, gần 79% trong 7 ngày qua.

Các DEX dựa trên Balancer khác cũng đối mặt với làn sóng rút tiền ồ ạt: PHUX mất 26,8% chỉ trong một ngày, Jellyverse giảm 15,5%, Gaming DEX sụt 89,3% với thanh khoản gần như biến mất. Các dự án nhỏ không bị ảnh hưởng trực tiếp—như KLEX Finance, Value Liquid, Sobal—cũng ghi nhận dòng tiền rút ra phổ biến 5–20%.

Phản ứng dây chuyền: Berachain triển khai hard fork khẩn cấp

Lỗ hổng Balancer V2 nhanh chóng dẫn đến các hậu quả liên tiếp.

Berachain, chuỗi công khai mới xây dựng trên Cosmos SDK, cũng bị tấn công chỉ trong vài giờ vì DEX gốc BEX dùng hợp đồng Balancer V2. Quỹ Berachain đã ngay lập tức thông báo dừng toàn bộ mạng lưới khi phát hiện dấu hiệu bất thường.

USDe Tripool của BEX cùng các pool thanh khoản khác bị đe dọa, với khoảng 12 triệu USD rơi vào nguy hiểm. Kẻ tấn công khai thác lỗi logic tương tự như trên Balancer, rút tiền qua nhiều giao dịch hợp đồng thông minh. Do nhiều tài sản là token không gốc, đội ngũ buộc phải triển khai hard fork để khôi phục và truy vết các block bị ảnh hưởng.

Cùng lúc đó, các giao thức như Ethena, Relay, HONEY trong hệ sinh thái Berachain đã áp dụng các biện pháp phòng thủ:

• Chặn chuyển USDe liên chuỗi;
• Tạm dừng gửi tiền thị trường cho vay;
• Ngừng phát hành và quy đổi HONEY;
• Thông báo các sàn tập trung đưa địa chỉ khả nghi vào danh sách đen.

Quỹ Berachain khẳng định việc dừng mạng là chủ động, mạng sẽ sớm trở lại hoạt động bình thường. Sự cố chủ yếu ảnh hưởng pool ba Ethena/Honey thông qua các giao dịch hợp đồng thông minh phức tạp. Do tài sản bị tác động không chỉ là token gốc, quy trình quay lui/quay tới phức tạp hơn hard fork thông thường nên mạng vẫn tạm dừng cho đến khi giải pháp toàn diện được hoàn thiện.

Ngày 04 tháng 11 (UTC), quỹ thông báo đã phát hành binary hard fork và một số validator đã nâng cấp. Trước khi quay lại online và tiếp tục sản xuất block, họ kiểm tra tất cả đối tác hạ tầng cốt lõi (ví dụ: oracle thanh lý) đã cập nhật RPC, đây là yếu tố quan trọng để khôi phục chuỗi. Sau khi dịch vụ cốt lõi sẵn sàng, đội ngũ sẽ phối hợp với bridge, CEX, đơn vị lưu ký và các bên liên quan để khôi phục dịch vụ rộng hơn.

Trong thời gian này, một bot khai thác giá trị MEV trên Berachain đã liên hệ với quỹ sau khi mạng bị dừng, tuyên bố với vai trò “mũ trắng” đã rút tiền và gửi thông điệp on-chain. Bot này cho biết sẵn sàng ký trước giao dịch hoàn trả tiền khi blockchain hoạt động trở lại.

Bảo mật hay phi tập trung?

“Chúng tôi biết đây là vấn đề gây tranh cãi, nhưng khi khoảng 12 triệu USD tài sản người dùng gặp rủi ro, bảo vệ người dùng là lựa chọn duy nhất,” đồng sáng lập Berachain Smokey The Bera trả lời về lo ngại tập trung hóa.

Ông thừa nhận Berachain chưa đạt mức độ phi tập trung như Ethereum, việc phối hợp validator giống trung tâm điều phối khủng hoảng hơn là mạng lưới đồng thuận tự động. Thực tế, các node on-chain đã dừng chỉ sau một giờ kể từ khi phát hiện sự cố, cho thấy hiệu quả của quyết định tập trung—và cũng bộc lộ mức độ tập trung quản trị.

Cộng đồng ngay lập tức chia rẽ.

Người ủng hộ cho rằng hành động này thể hiện trách nhiệm với an toàn người dùng—một dạng “phi tập trung thực tế.” Phản biện cho rằng điều này vi phạm nguyên tắc “Code is Law” và làm suy yếu tính bất biến on-chain.

Nhà điều tra on-chain ZachXBT bình luận: “Khi tiền người dùng sắp gặp rủi ro, đây là quyết định khó nhưng đúng.”

Một số lập trình viên phản đối: “Nếu blockchain có thể bị dừng bởi con người bất cứ lúc nào, thì khác gì hệ thống tài chính truyền thống?”

Bóng đen sự kiện DAO quay lại

Khủng hoảng này khiến nhiều người kỳ cựu nhớ tới vụ hack DAO trên Ethereum năm 2016, khi Ethereum rollback giao dịch qua hard fork để thu hồi 50 triệu USD, chia cộng đồng thành Ethereum (ETH) và Ethereum Classic (ETC).

Chín năm sau, một tình huống tương tự lại xuất hiện.

Lần này, nhân vật chính là một chuỗi công khai trẻ—chưa đủ phi tập trung hoặc có sự đồng thuận toàn cầu như các mạng lớn.

Sự can thiệp của Berachain đã ngăn tổn thất lớn hơn nhưng cũng làm bùng lên tranh luận triết lý: blockchain có thực sự tự chủ?

Ở góc độ nào đó, đây là tấm gương cho hệ sinh thái DeFi: bảo mật, hiệu quả, phi tập trung—ba yếu tố này chưa từng cân bằng tuyệt đối.

Khi hacker có thể phá hủy hàng chục triệu USD chỉ trong vài giây, “lý tưởng” thường nhường bước cho “thực tế.”

Đội ngũ Balancer cho biết đang phối hợp với các chuyên gia bảo mật hàng đầu và sẽ công bố phân tích đầy đủ sau sự kiện, đồng thời cảnh báo người dùng cảnh giác với tin nhắn lừa đảo từ nhóm bảo mật giả.

Sau khi hoàn tất hard fork, Berachain sẽ từng bước khôi phục sản xuất block và chức năng giao dịch.

Tuy nhiên, việc khôi phục niềm tin khó hơn nhiều so với vá mã nguồn. Với chuỗi công khai mới, dừng mạng là giải pháp khẩn cấp, nhưng có thể để lại vết sẹo lâu dài. Người dùng sẽ đặt câu hỏi về phi tập trung, còn lập trình viên sẽ lo ngại về cam kết bất biến.

Thế giới DeFi có thể đang tái định nghĩa phi tập trung—không phải tuyệt đối “tự do phóng túng,” mà là sự đồng thuận về mức thỏa hiệp tối thiểu khi khủng hoảng xảy ra.

Tuyên bố:

1. Bài viết này được đăng lại từ [Foresight News] và bản quyền thuộc về tác giả gốc [ChandlerZ, Foresight News]. Mọi tranh chấp về việc đăng lại, vui lòng liên hệ đội ngũ Gate Learn để được xử lý kịp thời.
2. Bài viết thể hiện quan điểm cá nhân của tác giả, không phải lời khuyên đầu tư.
3. Các phiên bản ngôn ngữ khác do đội ngũ Gate Learn biên dịch. Nếu không đề cập Gate, nghiêm cấm sao chép, phân phối hoặc đạo văn các bài dịch.