Balancer V2-Sicherheitslücke verursacht Schaden von über 1,16 Milliarden US-Dollar, mehrere Chain-Protokolle betroffen

Originaltitel: „Klassisches DeFi fällt: Balancer V2 Vertragslücke, über 1.1 Milliarden USD an Vermögenswerten gestohlen“

Originalautor: Wenser, Odaily

Am 3. November wurde beim klassischen DeFi-Protokoll Balancer ein Diebstahl von Vermögenswerten im Wert von über 70 Millionen USD bekannt. Kurz darauf wurde diese Nachricht von mehreren Seiten bestätigt und das gestohlene Volumen stieg weiter an. Zum Zeitpunkt der Erstellung dieses Artikels ist der Wert der gestohlenen Vermögenswerte bei Balancer bereits auf über 116 Millionen USD gestiegen. Odaily gibt in diesem Artikel eine kurze Analyse des Vorfalls.

Details zum Balancer-Diebstahl: Verlust von über 116 Millionen USD, Hauptursache ist eine Schwachstelle im v2-Pool-Smart Contract

Laut On-Chain-Informationen hat der Angreifer von Balancer derzeit bereits Vermögenswerte im Wert von über 116 Millionen USD gestohlen. Zu den wichtigsten gestohlenen Vermögenswerten gehören WETH, wstETH, osETH, frxETH, rsETH, rETH, verteilt auf mehrere Chains wie ETH, Base, Sonic und andere. Im Einzelnen:

· Gestohlene Vermögenswerte auf der Ethereum-Chain: etwa 100 Millionen USD;

· Gestohlene Vermögenswerte auf der Arbitrum-Chain: etwa 8 Millionen USD;

· Gestohlene Vermögenswerte auf der Base-Chain: etwa 3,95 Millionen USD;

· Gestohlene Vermögenswerte auf der Sonic-Chain: über 3,4 Millionen USD;

· Gestohlene Vermögenswerte auf der Optimism-Chain: etwa 1,57 Millionen USD;

· Gestohlene Vermögenswerte auf der Polygon-Chain: etwa 230.000 USD.

Krypto-KOL Adi erklärte in einem Beitrag, dass erste Untersuchungen zeigen, dass sich der Angriff hauptsächlich gegen die V2-Tresore und Liquiditätspools von Balancer richtete und eine Schwachstelle in der Interaktion der Smart Contracts ausnutzte. On-Chain-Ermittler wiesen darauf hin, dass ein böswillig bereitgestellter Vertrag während der Initialisierung des Liquiditätspools den Vault-Aufruf manipulierte. Fehlerhafte Autorisierung und Callback-Verarbeitung ermöglichten es dem Angreifer, die Schutzmaßnahmen zu umgehen, sodass zwischen verbundenen Liquiditätspools unautorisierte Swaps oder Saldenmanipulationen durchgeführt werden konnten, was zu einem schnellen Diebstahl von Vermögenswerten innerhalb weniger Minuten führte.

Nach den vorliegenden Informationen gab es keinen privaten Schlüssel-Leak, sondern es handelt sich um eine reine Smart-Contract-Sicherheitslücke.

Der Auditor von kebabsec und citrea-Entwickler @okkothejawa äußerte sich ebenfalls: „(Der von @moo9000 erwähnte Prüfungsfehler) ist möglicherweise nicht die Hauptursache, da bei allen 'manageUserBalance'-Aufrufen ops.sender == msg.sender ist. Die Sicherheitslücke könnte in einer Transaktion vor der Erstellung des Vertrags zum Abheben von Vermögenswerten aufgetreten sein, da sie zu einer Statusänderung im Balancer-Tresor führte.“

Auch das Balancer-Team reagierte offiziell: „Das offizielle Team ist sich der potenziellen Schwachstelle bewusst, die die Balancer v2-Pools betrifft. Unsere Engineering- und Sicherheitsteams untersuchen den Vorfall mit höchster Priorität. Sobald wir weitere Informationen haben, werden wir umgehend verifizierte Updates und nächste Schritte mitteilen.“

Auch Berachain, das potenziell von Vermögensschäden betroffen ist, reagierte umgehend. Nach einer Mitteilung der Berachain Foundation erklärte der Berachain-Gründer Smokey The Bera: „Die Bera-Node-Gruppe hat den Betrieb der Public Chain proaktiv pausiert, um die Auswirkungen der Balancer-Schwachstelle auf BEX (hauptsächlich den USDe-Dreifachpool) zu verhindern.

· Das Ethena-Team wurde gebeten, das Bera-Bridging zu deaktivieren

· Der Kreditmarkt hat Einzahlungen von USDe deaktiviert/pausiert

· Das Minting und der Umtausch von HONEY-Token wurden pausiert

· Kommunikation mit CEXs usw., um sicherzustellen, dass die Hackeradressen auf die Blacklist gesetzt werden

Unser Ziel ist es, die Gelder so schnell wie möglich zurückzuholen und die Sicherheit aller LPs zu gewährleisten. Das Berachain-Team wird, sobald es bereit ist, die Binärdateien an die entsprechenden Node-Validatoren und Dienstleister verteilen (da der Pool Nicht-Native Assets enthält, sind einige Slot-Rekonstruktionen usw. erforderlich, nicht nur eine Änderung des Bera-Token-Saldos).“

Nach dem Balancer-Diebstahl sind die Krypto-Wale am nervösesten

Als klassisches DeFi-Protokoll sind die Nutzer von Balancer zweifellos die direktesten Betroffenen dieses Diebstahls. Für die aktuellen Nutzer gibt es folgende Handlungsmöglichkeiten:

· Gelder aus den Balancer v2-Pools abziehen, um weitere Verluste zu vermeiden;

· Autorisierungen widerrufen: Mit Revoke, DeBank oder Etherscan die Smart-Contract-Berechtigungen der Balancer-Adressen widerrufen, um potenzielle Sicherheitsrisiken zu vermeiden;

· Aufmerksam bleiben: Die nächsten Schritte des Balancer-Angreifers genau beobachten und prüfen, ob andere DeFi-Protokolle betroffen sein könnten.

Außerdem hat in diesem Vorfall ein seit 3 Jahren inaktiver Krypto-Wal die Aufmerksamkeit des Marktes auf sich gezogen.

Laut LookonChain-Überwachung ist ein Krypto-Wal mit der Adresse 0×0090, der 3 Jahre lang inaktiv war, nach dem Balancer-Plattform-Bug gerade wieder aktiv geworden und hat eilig versucht, seine Vermögenswerte im Wert von 6,5 Millionen USD aus Balancer abzuziehen.

Weitere Entwicklungen: Der Hacker beginnt mit dem Token-Swap-Modus

Laut On-Chain-Analyst Yu Jin hat der Hacker des Balancer-Diebstahls bereits begonnen, zahlreiche Liquid Staking Tokens (LST) in ETH umzutauschen. Zuvor hatte er 10 osETH gegen 10,55 ETH getauscht.

On-Chain-Informationen zeigen, dass der Hacker weiterhin über das Cow Protocol gestohlene Vermögenswerte von mehreren Chains in ETH, USDC und andere Assets umtauscht. Derzeit sieht es so aus, als seien die Chancen, diese gestohlenen Vermögenswerte zurückzuerlangen, eher gering.

Ob Balancer in der Folge in der Lage sein wird, die Schwachstelle im Protokollvertrag rechtzeitig zu finden und die gestohlenen Vermögenswerte zurückzuholen oder eine entsprechende Lösung anzubieten, wird Odaily weiterhin verfolgen.