Первый отчет по Balancer готов! Уязвимость функции сжигания привела к катастрофе на сумму 116 миллионов долларов

Децентрализованный финансовый протокол Balancer опубликовал предварительный пост-инцидентный анализ, объясняющий причины уязвимости, которая привела к краже 116 миллионов долларов в DeFi рынке. На этой неделе Balancer подвергся сложной атаке с использованием кода, затронувшей стабильные пулы v2 и Composable Stable v5, в то время как все остальные типы пулов остались невредимыми. Хакеры использовали комбинацию BatchSwaps и эксплойта функции округления для вывода средств из стабильных токен-пулов.

Уязвимость функции округления и смертельное сочетание с BatchSwaps

(Источник: X)

В начале недели Balancer столкнулся со сложной кодовой атакой, которая затронула стабильные пулы v2 и Composable Stable v5, при этом все остальные типы пулов остались защищенными. Такой точечный выбор целей показывает глубокое понимание хакерами внутренней структуры кода Balancer, позволяющее выявлять уязвимости в определенных типах пулов и избегать более защищенных.

Злоумышленники использовали комбинацию BatchSwaps — функции, позволяющей объединять несколько операций в одну транзакцию, включая флеш-даун (flash loans), — и эксплойта функции округления при обмене EXACT_OUT в стабильных пулах. Эта двойная техника стала ключом к сложности атаки.

Функции округления в финансовых системах — это тонкая, но критически важная техническая деталь. Они предназначены для округления вниз при расчетах цен токенов, чтобы избежать ошибок из-за потери точности. Хакеры изменили эти значения округления и, совместно с функцией пакетных обменов, смогли вывести средства из стабильных пулов. В отчете команды Balancer говорится: «Во многих случаях украденные средства оставались в внутреннем балансе хранилища и затем выводились через последующие транзакции.»

Эффективность этой атаки заключается в использовании накопительного эффекта микроскопических ошибок округления. В рамках одной транзакции такие ошибки могут составлять доли цента, что кажется незначительным. Но при использовании BatchSwaps для объединения тысяч или десятков тысяч операций эти мелкие ошибки накапливаются в значительные суммы. Использование флеш-даун еще больше усиливает эффект, позволяя злоумышленникам без начального капитала брать крупные займы, выполнять арбитражные операции, возвращать займы и получать прибыль.

Анализ техники атаки

BatchSwaps — объединенная атака: объединение тысяч мелких арбитражных операций для накопления округлительных ошибок

Флеш-даун — усиление с помощью кредитного плеча: возможность управлять крупными суммами без начальных средств, масштабируя масштаб атаки в сотни раз

Уязвимость EXACT_OUT: точечное использование слабых мест функции округления при обмене, обходя другие механизмы защиты

С технической точки зрения, эта атака выявила системные риски при обработке числовой точности в DeFi-протоколах. Смарт-контракты должны балансировать между эффективностью расчетов и точностью чисел, и именно этот баланс зачастую становится точкой входа для злоумышленников. В нормальных условиях дизайн функции округления в Balancer работает хорошо, но при экстремальных сценариях (например, масштабных пакетных операциях) уязвимость проявляется.

Личность хакеров и подготовка к атаке

Эти злоумышленники, вероятно, являются технически подкованными профессионалами, которые готовились к атаке месяцами. Они использовали серию депозитов по 0,1 ETH через Tornado Cash — сервис для анонимизации транзакций, который мешает отслеживанию движения средств. Tornado Cash — популярный инструмент среди преступников для повышения приватности транзакций, что делает его предпочтительным выбором для скрытности.

Использование мелких депозитов по 0,1 ETH — классическая стратегия против отслеживания. Хакеры избегают переводов крупных сумм за один раз, чтобы не вызвать подозрений у аналитических инструментов блокчейна. Вместо этого они делят средства на сотни или тысячи мелких транзакций, усложняя восстановление цепочки происхождения средств. Такой «пыльный» подход значительно затрудняет отслеживание, даже для профессиональных аналитиков.

«Подготовка за несколько месяцев» — свидетельство тщательного планирования. Это не случайная атака, а спланированная операция. Хакеры, вероятно, долго изучали код Balancer, тестировали в локальных средах, моделировали сценарии атаки и разрабатывали маршруты вывода средств. Такой уровень подготовки требует глубоких технических знаний, понимания DeFi-протоколов и навыков анализа блокчейна.

По словам Дедди Лавида, исполнительного директора блокчейн-компании Cyvers, эта атака считается одной из самых сложных в 2025 году. Cyvers специализируется на мониторинге транзакций и выявлении аномалий, и их оценка придает дополнительную значимость. «Самая сложная» — так они охарактеризовали уровень этой атаки по инновационности, скрытности и точности исполнения.

Эта атака напоминает о том, что публичные кошельки, ликвидность и активы на цепочке постоянно подвергаются новым видам киберугроз. Открытая природа DeFi — с одной стороны, обеспечивает прозрачность и аудит, с другой — дает злоумышленникам возможность находить новые уязвимости. Это острый вызов для разработчиков и пользователей, требующий повышенной бдительности и совершенствования мер безопасности. В то время как открытый код способствует прозрачности, он также дает злоумышленникам инструменты для поиска дыр.

Прогресс в возврате средств и взаимодействие сообщества

(Источник: X)

Balancer в сотрудничестве с партнерами по безопасности и другими протоколами смог вернуть или заморозить часть украденных средств, включая около 19 миллионов долларов в виде 5041 ETH, заложенного через StakeWise (osETH), и до 2 миллионов долларов в виде 13495 токенов osGNO. Общая сумма возвращенных средств составляет около 21 миллиона долларов, что составляет примерно 18% от общего украденного — довольно хороший результат для DeFi-инцидента.

Возможность возврата или заморозки средств показывает важность внутреннего взаимодействия экосистемы. Токены osETH и osGNO связаны с конкретными протоколами, и их команды могут идентифицировать и блокировать подозрительные адреса. Такой механизм особенно ценен в децентрализованных системах, где отсутствует центральный орган, способный принудительно замораживать активы. Вместо этого протоколы должны добровольно сотрудничать, делиться информацией и координировать действия.

Команда уже приостановила работу всех затронутых пулов и отключила создание новых уязвимых пулов до устранения проблем. Это болезненное, но необходимое решение. Приостановка означает временное ограничение доступа для пользователей, что негативно сказывается на пользовательском опыте и репутации протокола. Однако продолжение работы с уязвимыми пулами грозит еще большими потерями, поэтому такой шаг — единственно ответственный.

Balancer предложил белым хакерам и злоумышленникам вознаграждение в размере 20% от украденных средств за возврат, однако на момент написания статьи никто не претендовал. Такой высокий процент — около 23 миллиона долларов — делает предложение привлекательным, но отсутствие откликов может объясняться несколькими причинами.

Во-первых, злоумышленники могут не желать раскрывать свою личность даже ради награды. Взаимодействие с правоохранительными органами или командой протокола может привести к арестам или юридическим преследованиям. Во-вторых, они могут считать, что смогут успешно отмыть деньги и вывести все средства, не ограничиваясь 20%. В-третьих, это может быть организованная преступная группа или государственная инициатива, для которых репутационные потери важнее, чем денежные вознаграждения.

Обзор мер реагирования Balancer

Мгновенные действия: после обнаружения атаки немедленно приостановлены затронутые пулы, чтобы предотвратить дальнейшие потери

Взаимодействие с сообществом: совместная работа с StakeWise, Gnosis и другими протоколами для блокировки украденных токенов

Прозрачность: быстрое опубликование отчета, объясняющего механизм атаки и предпринятые меры

Экономические стимулы: предложение 20% награды за возврат средств, пока что без откликов

Этот инцидент вновь подчеркивает уязвимость безопасности DeFi и важность проведения аудитов.