Протокол Balancer атакували: виведено понад $128 млн, постраждали Ethereum та Polygon, роботу блокчейна призупинено

DeFi-протокол Balancer V2 подвергся атаке, в результате которой из его хранилищ было выведено $128,6 млн. Атака затронула несколько блокчейн-сетей, среди них — Ethereum, Arbitrum, Base и Polygon. В Berachain даже решили остановить сеть для проведения экстренного хардфорка.

Согласно данные блокчейн-безопасной компании PeckShield, транзакции показали крупные и необычные переводы с адреса Balancer «0xBA1…BF2C8» на внешний кошелек. Из Vault протокола выведено 6 587 WETH ($24,5 млн), 6 851 osETH ($26,9 млн) и 4 260 wstETH ($19,3 млн). Команда Balancer подтвердила проблему и заявила о расследовании. Предварительно, оно указывает на ошибочную проверку смарт-контрактов как причину инцидента, которая позволила злоумышленникам превратить фальшивые сборы в реальные активы. Потери могут превысить $100 млн, если старые версии протокола имеют ту же уязвимость.

По состоянию на 3 ноября атака все еще продолжалась, при этом один из «китов», который не совершал транзакций более трех лет, вывел $6,5 млн с платформы. Berachain приостановила сеть, чтобы выполнить хардфорк и устранить уязвимости, связанные с Balancer. Хардфорк был распространен среди валидаторов, но работа сети еще не восстановлена. Причиной задержки компания называет необходимость обновления инфраструктурных партнеров. Оператор MEV-бота, который вывел средства, подтвердил, что он является white hat (этичным хакером) и готов вернуть активы после восстановления работы сети.

Уязвимость обнаружилась в ликвидном пуле Ethena/Honey на децентрализованной бирже Berachain (BEX), которая пострадала из-за эксплуатации Balancer V2. По предварительной оценке, с BEX было выведено около $12 млн. Благодаря хардфорку, Berachain планирует предотвратить дальнейшие атаки и распространение возможного вредоносного ПО и восстановить баланс на своих платформах. Команда подчеркнула, что этот откат будет более сложным, чем стандартный хардфорк. Ведь протокол, который работает с 2020 года, на данный момент удерживает более $350 млн общей заблокированной стоимости только на Ethereum.

Решение приостановить сеть было спорным, но необходимым шагом, получившим поддержку от сообщества. Смоки The Bera (смоки-офицер, вымышленный персонаж, который является кризисным менеджером сети), объяснил, что такие действия были необходимы для сохранения пользовательских средств. Отдельные эксперты, в частности ZachXBT, также отметили, что это был правильный шаг для защиты пользователей — поскольку в случае временной остановки консенсуса необходимо было сохранить активы.

Несмотря на сложную ситуацию, команда Berachain подчеркивает, что после запуска сети будет проведена ревизия новых мер безопасности, чтобы предотвратить хакерские атаки, а также обнародованы дальнейшие планы по развитию экосистемы.