Hack di Balancer: Oltre 116 milioni $ rubati, un duro colpo per la DeFi

Titolo originale: "Veteran DeFi Compromised: Balancer V2 Contract Vulnerability, Over $110 Million in Assets Stolen"

Autore originale: Wenser, Odaily Planet Daily

Nota dell'editore: Oggi, il protocollo DeFi Balancer è stato vittima di un attacco, con fondi rubati che superano ora i 116 milioni $. Diversi progetti hanno adottato misure correttive: Lido ha ritirato la sua posizione non influenzata su Balancer, mentre Berachain ha annunciato un blocco della rete per condurre un hard fork di emergenza per affrontare la vulnerabilità legata a Balancer V2 sul BEX.

Inoltre, Hasu, direttore strategico di Flashbots e consulente strategico di Lido, ha espresso in un post che "Balancer v2 è stato lanciato nel 2021 ed è diventato da allora uno degli smart contract più osservati e frequentemente copiati. Questo è molto preoccupante. Ogni volta che un contratto attivo da così tanto tempo viene hackerato, l'adozione della DeFi subisce un rallentamento di 6-12 mesi." Di seguito il contenuto originale:

Il 3 novembre, è stato riferito che il veterano protocollo DeFi Balancer ha subito il furto di oltre 70 milioni $ in asset. Successivamente, questa notizia è stata confermata da più parti e la dimensione dei fondi rubati ha continuato a crescere. Al momento della scrittura, l'ammontare degli asset rubati da Balancer era aumentato a oltre 116 milioni $. Odaily Planet Daily analizzerà brevemente questo incidente in questo articolo.

Dettagli dell'hack di Balancer: Perdite superiori a 116 milioni $, principalmente a causa di un difetto dello smart contract della pool v2

Secondo le informazioni on-chain, l'attaccante di Balancer ha ora rubato oltre 116 milioni $ in asset, con i principali asset rubati tra cui WETH, wstETH, osETH, frxETH, rsETH, rETH, distribuiti su più catene come ETH, Base, Sonic, ecc., dove:

· Asset rubati sulla catena Ethereum: circa 100 milioni $;

· Asset rubati sulla catena Arbitrum: quasi 8 milioni $;

· Asset rubati sulla catena Base: quasi 3,95 milioni $;

· Asset rubati sulla catena Sonic: oltre 3,4 milioni $;

· Asset rubati sulla catena Optimism: quasi 1,57 milioni $;

· Furto di asset on-chain su Polygon: circa 230.000 $.

Il KOL crypto Adi ha postato che le indagini iniziali indicano che l'attacco ha preso di mira principalmente il vault V2 e la pool di liquidità di Balancer, sfruttando una vulnerabilità nelle interazioni degli smart contract. Gli investigatori on-chain hanno sottolineato che un contratto distribuito in modo malevolo ha manipolato la chiamata al Vault durante l'inizializzazione della pool. Un'autorizzazione e una gestione dei callback improprie hanno permesso all'attaccante di aggirare le misure di protezione, consentendo swap non autorizzati tra pool di liquidità interconnesse o manipolazioni del saldo, con conseguente rapido furto di asset in pochi minuti.

Sulla base delle informazioni disponibili, non vi è alcuna prova di esposizione della chiave privata; si tratta puramente di una vulnerabilità dello smart contract.

Anche l'auditor kebabsec e sviluppatore di citrea @okkothejawa ha menzionato: "L'errore di controllo menzionato da @moo9000 potrebbe non essere la causa principale, poiché in tutte le chiamate 'manageUserBalance' ops.sender == msg.sender. La vulnerabilità di sicurezza potrebbe essersi verificata in una transazione precedente alla creazione del contratto che estrae gli asset, poiché ha portato ad alcuni cambiamenti di stato nel vault di Balancer."

La risposta ufficiale di Balancer ha dichiarato: "Il nostro team è a conoscenza di una potenziale vulnerabilità che colpisce le pool Balancer v2. I nostri team di ingegneria e sicurezza stanno conducendo attivamente un'indagine ad alta priorità. Una volta ottenute maggiori informazioni, condivideremo immediatamente aggiornamenti verificati e i prossimi passi."

Berachain, che affronta potenziali rischi di perdita di asset, ha risposto prontamente. A seguito di un post della Berachain Foundation, il fondatore di Berachain, Smokey The Bera, ha dichiarato: "Il gruppo di nodi Bera ha sospeso proattivamente l'operazione della catena pubblica per evitare che la vulnerabilità di Balancer influisse sul BEX (principalmente la USDe three-pool).

· Istruire il team Ethena a disabilitare il bridge Bera

· Disabilitare/Sospendere i depositi di USDe nel mercato di prestito

· Sospendere il minting e lo scambio del token HONEY

· Comunicare con i CEX e assicurarsi che gli indirizzi degli hacker siano inseriti nella lista nera

Il nostro obiettivo è recuperare i fondi il più rapidamente possibile e garantire la sicurezza di tutti gli LP. Il team di Berachain rilascerà immediatamente i binari ai validatori di nodi e ai fornitori di servizi pertinenti una volta pronti (poiché questa pool contiene asset non nativi, comporta una certa riconfigurazione degli slot, non solo la modifica del saldo del token Bera)."

Informazioni on-chain dell'attaccante di Balancer: https://intel.arkm.com/explorer/entity/cd756cb8-6a84-4f40-9361-f6c548544430

Hack di Balancer: La balena cripto più nervosa

In quanto protocollo DeFi ben consolidato, gli utenti di Balancer sono indubbiamente i più direttamente colpiti da questo hack. Per gli utenti attuali, le azioni che possono essere intraprese includono:

· Ritirare i fondi dalle pool Balancer v2 per prevenire ulteriori perdite;

· Revocare l'autorizzazione: Utilizzare Revoke, DeBank o Etherscan per revocare le autorizzazioni dello smart contract dall'indirizzo Balancer per evitare potenziali rischi di sicurezza;

· Rimanere vigili: Tenere d'occhio le prossime mosse dell'attaccante di Balancer e se avranno un impatto a cascata su altri protocolli DeFi.

Inoltre, una balena cripto dormiente che è rimasta inattiva per 3 anni ha attirato l'attenzione in questo hack.

Secondo il monitoraggio di LookonChain, una balena cripto dormiente da 3 anni con l'indirizzo 0x009023dA14A3C9f448B75f33cEb9291c21373bD8 si è improvvisamente svegliata dopo che si è verificata la vulnerabilità della piattaforma Balancer. La balena è ansiosa di ritirare i suoi 6,5 milioni $ di asset correlati da Balancer. Informazioni on-chain: https://intel.arkm.com/explorer/address/0x009023dA14A3C9f448B75f33cEb9291c21373bD8

Ultimo sviluppo: L'hacker avvia un modello di scambio di token

Secondo il monitoraggio dell'analista on-chain Yu Jin, l'hacker dell'hack di Balancer ha iniziato a tentare di scambiare molti token di liquidità (LST) con ETH. In precedenza, l'hacker ha scambiato 10 osETH con 10,55 ETH.

I dati on-chain mostrano che l'hacker sta scambiando continuamente asset rubati su più catene con ETH, USDC e altri asset utilizzando il Cow Protocol. Attualmente, la speranza di recuperare questi asset rubati sembra scarsa.

In futuro, se Balancer riuscirà a identificare tempestivamente la vulnerabilità del contratto del protocollo e a recuperare rapidamente gli asset rubati, o a fornire una soluzione corrispondente, Odaily continuerà a seguire la vicenda.

Link all'articolo originale