Jak 11 audytów nie powstrzymało ataku na Balancer o wartości 128 milionów dolarów, redefiniując ryzyka DeFi

Przez lata Balancer był uważany za jedną z najbardziej niezawodnych instytucji DeFi, protokół, który przetrwał kilka rynków niedźwiedzia, audyty i integracje bez żadnych skandali.

Jednak ta wiarygodność runęła 3 listopada, gdy firma zajmująca się bezpieczeństwem blockchain PeckShield poinformowała, że Balancer i kilka jego forków są celem aktywnego ataku, który rozprzestrzenia się na wielu łańcuchach.

W ciągu kilku godzin zniknęło ponad 128 milionów dolarów, pozostawiając po sobie wyczerpane pule, zamrożone protokoły i zaniepokojonych inwestorów.

Dane PeckShield pokazały, że protokół platformy na Ethereum poniósł największe straty, około 100 milionów dolarów. Berachain stracił 12,9 miliona dolarów, podczas gdy Arbitrum, Base oraz mniejsze forki takie jak Sonic, Optimism i Polygon odnotowały niższe, ale wciąż znaczące kradzieże.

Całkowite środki skradzione w wyniku ataku na Balancer (Źródło: Peckshield)

W miarę jak środki były wycofywane, Balancer potwierdził „potencjalny exploit wpływający na pule Balancer v2”, informując, że jego zespoły inżynieryjne i ds. bezpieczeństwa badają problem z najwyższym priorytetem.

Jednak to potwierdzenie niewiele zrobiło, by spowolnić wypłaty u integratorów i forków.

Pod koniec dnia dane DeFiLlama pokazały, że całkowita wartość zablokowana (TVL) Balancer spadła o 46% do około 422 milionów dolarów z 770 milionów dolarów na moment publikacji.

Atak na Balancer DeFi (Źródło: DeFiLlama)

Co się stało?

Wstępna analiza kryminalistyczna firmy zajmującej się bezpieczeństwem blockchain Phalcon wskazała, że atakujący celował w Balancer Pool Tokens (BPT), które reprezentują udziały użytkowników w pulach płynności.

Według firmy, podatność wynikała ze sposobu, w jaki Balancer obliczał ceny pul podczas batch swaps. Manipulując tą logiką, atakujący zniekształcił wewnętrzny feed cenowy, tworząc sztuczną nierównowagę, która pozwoliła mu wycofać tokeny zanim system się skorygował.

Jak atakujący wykorzystał kod Balancer (Źródło: Phalcon)

Analityk kryptowalut Adi napisał:

„Niewłaściwe autoryzacje i obsługa callbacków pozwoliły atakującemu obejść zabezpieczenia. Umożliwiło to nieautoryzowane swapy lub manipulacje saldami w połączonych pulach, co doprowadziło do szybkiego wyczerpania aktywów (w ciągu kilku minut).”

Tymczasem architektura composable vault Balancer, od dawna chwalona za elastyczność, spotęgowała szkody. Ponieważ skarbce mogły dynamicznie się do siebie odnosić, zniekształcenie rozprzestrzeniło się na połączone pule.

Co ciekawe, Conor Grogan z Coinbase zwrócił uwagę, że podejście atakującego sugerowało profesjonalne przygotowanie.

Grogan zauważył, że adres atakującego został początkowo zasilony 100 ETH z Tornado Cash, co sugeruje, że środki prawdopodobnie pochodziły z wcześniejszych exploitów.

„Ludzie zazwyczaj nie trzymają 100 ETH w Tornado Cash dla zabawy”, napisał, sugerując, że wzorzec transakcji wskazuje na doświadczonego i wcześniej aktywnego hakera.

Kryzys zaufania w DeFi

Chociaż sam exploit był techniczny, jego wpływ był psychologiczny.

Balancer od dawna był postrzegany jako konserwatywne miejsce dla dostawców płynności, miejsce do przechowywania aktywów i uzyskiwania umiarkowanych, stabilnych zysków. Jego długowieczność, audyty i integracje z czołowymi platformami DeFi tworzyły iluzję, że wytrzymałość oznacza bezpieczeństwo. Włamanie z 3 listopada zniszczyło tę narrację z dnia na dzień.

Lefteris Karapetsas, założyciel platformy kryptowalutowej Rotki, nazwał to „załamaniem zaufania”, a nie tylko włamaniem do platformy DeFi.

Potępił fakt, że:

„Protokół działający od 2020 roku, audytowany i szeroko używany, nadal może ponieść niemal całkowitą utratę TVL. To czerwona flaga dla każdego, kto uważa, że DeFi jest ‘stabilne’.”

Ta reakcja oddaje szersze nastroje. Na rynku, który ceni self-custody i weryfikowalny kod, zaufanie po cichu zastąpiło wiarę jako ukrytą podstawę DeFi.

Porażka Balancer pokazała, że nawet matematycznie poprawne systemy są podatne na nieprzewidzianą złożoność.

Robdog, pseudonimowy deweloper Cork Protocol, powiedział:

„Podczas gdy [DeFi] staje się coraz bezpieczniejsze, smutna rzeczywistość jest taka, że ryzyko smart kontraktów jest wokół nas.”

Implikacje dla DeFi

Exploit Balancer uderzył w delikatnym momencie dla zdecentralizowanych finansów, przerywając krótki okres spokoju. W październiku, według PeckShield, całkowite straty z hacków spadły do rocznego minimum wynoszącego zaledwie 18 milionów dolarów.

Jednak pojedynczy incydent w listopadzie sprawił, że liczba ta przekroczyła już 120 milionów dolarów, co czyni go trzecim najgorszym miesiącem pod względem naruszeń DeFi w 2025 roku.

Miesięczne straty z hacków DeFi w 2025 roku (Źródło: DeFiLlama)

Tymczasem ten atak podkreśla fundamentalny paradoks w sercu DeFi: composability, cecha umożliwiająca protokołom łączenie się i budowanie na sobie nawzajem, jednocześnie zwiększa ryzyko systemowe.

Kiedy taki podstawowy protokół jak Balancer zawodzi, wpływ natychmiast rozprzestrzenia się przez sieci, które na nim polegają.

Na Berachain walidatorzy wstrzymali produkcję bloków, aby zapobiec rozprzestrzenianiu się problemu. Inne protokoły również tymczasowo zawiesiły funkcje pożyczkowe i mostkowe.

Te szybkie reakcje ograniczyły straty, ale także podkreśliły szerszą prawdę, że DeFi działa bez mechanizmów koordynacji, które stabilizują tradycyjne finanse.

W tej przestrzeni nie ma regulatorów, banków centralnych ani obowiązkowych zabezpieczeń. Zamiast tego zarządzanie kryzysowe opiera się głównie na współpracy deweloperów i audytorów, często w ciągu kilku minut, by ograniczyć skutki.

Biorąc to pod uwagę, Robdog powiedział:

[To] dobre przypomnienie, dlaczego musimy rozwijać lepszą infrastrukturę zarządzania ryzykiem.”

Poza natychmiastową stratą techniczną, szkody w zaufaniu mogą być trudniejsze do naprawienia.

Każdy większy exploit podważa zaufanie do obietnicy DeFi o samoregulującym się kodzie. Dla inwestorów instytucjonalnych rozważających ekspozycję na tę branżę, powtarzające się porażki sygnalizują, że zdecentralizowane rynki pozostają eksperymentalne.

Karapetsas zauważył:

„Żaden poważny kapitał nie alokuje środków w systemy, które są tak kruche.”

To postrzeganie już kształtuje politykę w głównych gospodarkach na całym świecie.

Suhail Kakar, znany deweloper web3, podkreślił trzeźwiącą rzeczywistość po exploicie Balancer: nawet wielokrotne, głośne audyty bezpieczeństwa nie gwarantują bezpieczeństwa w DeFi.

Jak zauważył, Balancer przeszedł ponad dziesięć audytów, a jego główny kontrakt vault był sprawdzany przez kilka niezależnych firm; mimo to protokół nadal padł ofiarą poważnego naruszenia.

Uwagi Kakar podkreślają rosnące przekonanie w branży, że „audytowane przez X” nie jest już oznaką nieomylności; raczej odzwierciedla to złożoność i nieprzewidywalność zdecentralizowanych systemów, gdzie nawet dobrze przetestowany kod może skrywać niewidoczne podatności.

Audyty Balancer V2 (Źródło: dokumentacja Balancer via Suhail Kakar)

Władze w Stanach Zjednoczonych opracowują ramy, które wprowadziłyby regulacje dotyczące protokołów DeFi. Obserwatorzy branży spodziewają się, że exploit Balancer przyspieszy te działania, gdy decydenci zmierzą się z rosnącym ryzykiem dalszej integracji kryptowalut z tradycyjnym sektorem finansowym.