La vulnerabilità di Balancer V2 causa perdite superiori a 116 milioni di dollari, colpiti diversi protocolli cross-chain

Titolo originale: "Il veterano DeFi crolla: vulnerabilità del contratto Balancer V2, oltre 1.1 miliardi di dollari di asset rubati"

Autore originale: Wenser, Odaily

Il 3 novembre, il protocollo DeFi veterano Balancer è stato colpito da un furto di oltre 70 milioni di dollari in asset. Successivamente, la notizia è stata confermata da diverse fonti e l'ammontare dei fondi rubati ha continuato a crescere. Al momento della stesura, il valore degli asset sottratti a Balancer ha superato 1.16 miliardi di dollari. Odaily fornirà in questo articolo una breve analisi dell'accaduto.

Dettagli del furto su Balancer: perdite superiori a 1.16 miliardi di dollari, causa principale una vulnerabilità nel contratto intelligente della pool v2

Secondo le informazioni on-chain, l'attaccante di Balancer ha già sottratto fondi per oltre 1.16 miliardi di dollari, con asset principali rubati tra cui WETH, wstETH, osETH, frxETH, rsETH, rETH, distribuiti su diverse chain come ETH, Base, Sonic e altre. In particolare:

· Asset rubati sulla chain Ethereum: circa 1 miliardo di dollari;

· Asset rubati sulla chain Arbitrum: circa 8 milioni di dollari;

· Asset rubati sulla chain Base: circa 3.95 milioni di dollari;

· Asset rubati sulla chain Sonic: oltre 3.4 milioni di dollari;

· Asset rubati sulla chain Optimism: circa 1.57 milioni di dollari;

· Asset rubati sulla chain Polygon: circa 230.000 dollari.

Il KOL crypto Adi ha dichiarato che le indagini preliminari mostrano che l'attacco ha preso di mira principalmente il Vault V2 e le liquidity pool di Balancer, sfruttando una vulnerabilità nell'interazione dei contratti intelligenti. Gli investigatori on-chain hanno sottolineato che un contratto malevolo, distribuito appositamente, ha manipolato la chiamata al Vault durante l'inizializzazione della liquidity pool. Un'autorizzazione e una gestione delle callback errate hanno permesso all'attaccante di bypassare le misure di protezione, consentendo swap o manipolazioni di saldo non autorizzate tra le liquidity pool interconnesse, permettendo così il furto rapido degli asset in pochi minuti.

In base alle informazioni attuali, non si è verificata alcuna fuga di chiavi private: si tratta di una pura vulnerabilità del contratto intelligente.

L'auditor di kebabsec e sviluppatore di citrea @okkothejawa ha inoltre dichiarato: "L'errore menzionato da @moo9000 potrebbe non essere la causa principale, poiché in tutte le chiamate 'manageUserBalance' ops.sender == msg.sender. La vulnerabilità potrebbe essersi verificata nella transazione precedente alla creazione del contratto per il prelievo degli asset, poiché ciò ha causato alcune variazioni di stato nel Vault di Balancer."

Il team ufficiale di Balancer ha risposto pubblicamente: "Il team è a conoscenza della potenziale vulnerabilità che interessa le pool Balancer v2. I nostri team di ingegneria e sicurezza stanno indagando con la massima priorità. Non appena avremo ulteriori informazioni, condivideremo immediatamente aggiornamenti verificati e i prossimi passi."

Anche Berachain, che rischia potenzialmente di subire danni agli asset, ha risposto tempestivamente. Dopo il comunicato della Berachain Foundation, il fondatore di Berachain, Smokey The Bera, ha dichiarato: "Il gruppo di nodi Bera ha sospeso proattivamente il funzionamento della chain pubblica per prevenire l'impatto della vulnerabilità di Balancer su BEX (principalmente la pool USDe).

· Far disabilitare al team Ethena il bridge Bera

· Disabilitare/sospendere i depositi USDe nei mercati di lending

· Sospendere la minting e il redemption del token HONEY

· Comunicare con CEX e altri per assicurarsi che gli indirizzi degli hacker siano inseriti nella blacklist

Il nostro obiettivo è recuperare i fondi il prima possibile e garantire la sicurezza di tutti gli LP. Il team Berachain rilascerà i file binari ai validatori dei nodi e ai fornitori di servizi non appena saranno pronti (poiché questa pool contiene asset non nativi, sono coinvolte alcune ricostruzioni degli slot, non solo la modifica dei saldi dei token Bera)."

Dopo il furto su Balancer, i più preoccupati sono le crypto whale

In quanto protocollo DeFi veterano, gli utenti di Balancer sono senza dubbio i più direttamente colpiti da questo furto. Per gli utenti attuali, le azioni consigliate includono:

· Ritirare i fondi dalle pool Balancer v2 per evitare ulteriori perdite;

· Revocare le autorizzazioni: utilizzare Revoke, DeBank o Etherscan per annullare i permessi dei contratti intelligenti all'indirizzo Balancer, prevenendo potenziali rischi di sicurezza;

· Restare aggiornati: monitorare attentamente le prossime mosse dell'attaccante di Balancer e verificare se ci saranno effetti a catena su altri protocolli DeFi.

Inoltre, questo furto ha attirato l'attenzione del mercato su una crypto whale inattiva da 3 anni.

Secondo il monitoraggio di LookonChain, una whale che era rimasta inattiva per 3 anni, 0×0090, si è appena risvegliata dopo il bug su Balancer, cercando urgentemente di prelevare i suoi asset per un valore di 6.5 milioni di dollari dalla piattaforma Balancer.

Sviluppi successivi: l'hacker inizia la conversione dei token

Secondo il monitoraggio dell'analista on-chain Yu Jin, l'hacker responsabile del furto su Balancer ha già iniziato a convertire numerosi liquid staking token (LST) in ETH; in precedenza aveva convertito 10 osETH in 10.55 ETH.

I dati on-chain mostrano che l'hacker sta utilizzando Cow Protocol per convertire costantemente gli asset rubati su più chain in ETH, USDC e altri asset. Al momento, le possibilità di recuperare questi asset sembrano piuttosto scarse.

In futuro, se Balancer riuscirà a individuare tempestivamente la vulnerabilità del contratto e a recuperare rapidamente gli asset rubati o a fornire una soluzione adeguata, Odaily continuerà a seguire la vicenda.