Balancer代码问题损失超1亿,对DeFi行业几乎毁灭打击
原文标题:《老牌 DeFi 沦陷:Balancer V2 合约漏洞,超 1.1 亿美元资产被盗》
原文作者:Wenser,Odaily 星球日报
律动注:今日,DeFi 协议 Balancer 遭遇黑客攻击,目前盗取资金规模已突破 1.16 亿美元。多个项目进行了自救措施:Lido 已撤出其未受影响的 Balancer 头寸;Berachain 则是直接宣布暂停网络,以进行紧急硬分叉修复 BEX 上与 Balancer V2 相关漏洞。
此外,Flashbots 战略总监、Lido 战略顾问 Hasu 发文表示,「Balancer v2 于 2021 年上线,自此成为最受关注和频繁被分叉的智能合约之一。这非常令人担忧。每次上线时间如此久的合约被攻击时,都会让 DeFi 的采用进程倒退 6 到 12 个月。」以下为原文内容:
11 月 3 日,老牌 DeFi 协议 Balancer 被爆出超 7000 万美元资产被盗。随后,该消息得到多方证实,且被盗资金规模不断上涨。截至撰稿时,Balancer 被盗资产金额已增加至超 1.16 亿美元。Odaily 星球日报 将于本文对此事予以简要分析。
Balancer 被盗细节:损失资金超 1.16 亿美元,主因为 v2 池智能合约漏洞
根据链上信息,Balancer 攻击者目前盗取资金规模已突破 1.16 亿美元,主要被盗资产包括 WETH、wstETH、osETH、frxETH、rsETH、rETH,分布在 ETH、Base、Sonic 等多条链上,其中:
· 以太坊链上被盗资产:近 1 亿美元左右;
· Arbitrum 链上被盗资产:近 800 万美元;
· Base 链上被盗资产:近 395 万美元;
· Sonic 链上被盗资产:超 340 万美元;
· Optimism 链上被盗资产:近 157 万美元;
· Polygon 链上被盗资产:23 万美元左右。

加密 KOL Adi 发文表示,初步调查显示,该攻击主要针对 Balancer 的 V2 金库和流动性池,利用了智能合约交互中的漏洞。链上调查人员指出,一个恶意部署的合约在流动性池初始化期间操纵了 Vault 调用。不正确的授权和回调处理使攻击者能够绕过保护措施,这使得互连流动性池之间能够进行未经授权的 Swap 兑换或余额操纵,从而在几分钟内快速盗取资产。
根据现有信息来看,并不存在私钥泄露,这是一个纯粹的智能合约漏洞。
审计机构 kebabsec 审计师、citrea 开发者 @okkothejawa 也发文表示,「(@moo9000 提及的检查错误)可能不是根本原因,因为在所有『manageUserBalance』调用中 ops.sender == msg.sender。安全漏洞可能发生在创建提取资产的合约之前的交易当中,因为它导致了 Balancer 金库中的一些状态变化。」
Balancer 官方也对外回应表示:「官方团队已知晓影响 Balancer v2 池的潜在漏洞。我们的工程和安全团队正在高度优先进行调查。一旦获得更多信息,我们将立即分享经过验证的更新和后续步骤。」
而存在潜在资产受损风险的 Berachain 也第一时间做出了自己的回应。Berachain 基金会发文后,Berachain 创始人 Smokey The Bera 对外表示,「Bera 节点组已经主动暂停了公链运行,以防止影响 BEX(主要是 USDe 三池)的 Balancer 漏洞。
· 让 Ethena 团队禁用 Bera 桥接
· 借贷市场禁用/暂停 USDe 存款
· 暂停 HONEY 代币铸造及兑换
· 与 CEX 等沟通,确保黑客地址被列入黑名单
我们的目标是尽快收回资金并确保所有 LP 的安全。Berachain 团队将在准备就绪后立即向相关节点验证者和服务提供商发布二进制文件(由于该池包含非原生资产,因此涉及一些插槽重构等,而不仅仅是修改 Bera 代币余额)。」
Balancer 攻击者链上信息详见:https://intel.arkm.com/explorer/entity/cd756cb8-6a84-4f40-9361-f6c548544430
Balancer 被盗,最紧张的人是加密巨鲸
作为老牌 DeFi 协议,Balancer 的用户无疑是此次被盗事件最为直接的受影响者,对于现在的用户来说,可以做的事情包括:
· 从 Balancer v2 池中撤出资金,避免损失扩大;
· 撤销授权:使用 Revoke、DeBank 或 Etherscan 取消 Balancer 地址的智能合约权限,避免潜在的安全风险;
· 保持关注:密切注意 Balancer 攻击者的下一步动作以及是否会对其他 DeFi 协议造成连环影响。
此外,本次被盗事件中有一个沉睡 3 年的加密巨鲸吸引了市场的注意。
据 LookonChain 监测,某个休眠了 3 年的加密巨鲸鲸鱼 0x0090 在 Balancer 平台漏洞发生后刚刚苏醒,其急于从 Balancer 中提取自己的 650 万美元相关资产。链上信息见:https://intel.arkm.com/explorer/address/0x009023dA14A3C9f448B75f33cEb9291c21373bD8
后续进展:黑客开始代币兑换模式
据链上分析师余烬监测,Balancer 被盗事件的黑客已经开始尝试把诸多流动性质押代币(LST)兑换为 ETH,此前,其曾把 10 osETH 兑换成 10.55 ETH。
链上信息显示,黑客正通过 Cow Protocol 不断地将多条链上的被盗资产兑换为 ETH、USDC 等资产。目前来看,这些被盗资产追回的希望比较渺茫。

后续,Balancer 能否及时找到协议合约漏洞并尽快追回被盗资产或提供对应的解决方案,Odaily 星球日报将持续跟进。
猜你喜欢

量子威胁面前,比特币核心开发者选择了无视

别只盯着交易量,教你看懂永续合约的「真假繁荣」

华尔街 2.0:Ondo Finance 达成银行和代币化之间的开创性联盟
要点:Ondo Finance、贝莱德和白宫之间的联盟有望通过使用区块链技术将股票代币化来彻底改变金融市场……

联合国教科文组织警告称,到 2028 年,人工智能的颠覆性发展可能会使创作者的收入减少近 25%
关键要点:联合国教科文组织警告称,人工智能生成的内容可能会导致音乐创作者的收入损失高达24%……

全民转向AI,加密并不是为人类设计的?
WEEX AI 交易黑客马拉松:关于人工智能交易和预测市场未来的 3 个关键见解
深入了解 WEEX AI 交易黑客马拉松 AMA 的关键要点。从平台构建者、预测市场专家和获奖交易员那里获得关于人工智能交易未来、如何交易社交情绪以及为什么人机协作是终极优势的 3 个关键见解。
超越战场:PS5大奖、1,000 USDT空投及来自伊斯坦布尔的WEEX人工智能交易核心洞察
获取人工智能交易前沿的关键洞察:对伊斯坦布尔实盘对决的分析揭示了人类直觉胜过人工智能的时刻,以及算法领先指数较高的领域。探索协作交易的未来。

2026春节,巨头为何豪掷45亿疯狂补贴AI支付?

彭博社:a16z何以成为美国AI政策背后的关键力量?
盈利超1.5万美元:WEEX黑客松预赛优胜者领跑加密货币市场的4大AI交易秘诀
WEEX黑客松顶尖AI交易策略如何在加密货币市场盈利超1.5万美元:震荡行情下ETH、BTC交易、市场结构分析及风险管理的4条实用准则。

比特币带头大哥的镰刀,一场纳斯达克抢劫实录

ARK Invest:稳定币正在构建下一代货币体系

美国就业报告:一月非农就业人数上升至13万,比特币下跌
要点 美国一月新增就业人数13万,超过预期,表明劳动力市场正在复苏。比特币...

从房地产到互联网,下一个十年的财富密码藏在哪里?

Fintech vs. DeFi:哪一种金融体系更具竞争力?

以太坊再定价:从Rollup-Centric到「安全性结算层」

别再拿黄金说事了,比特币不是避险资产

Aave创始人:DeFi借贷市场的秘密是什么?
量子威胁面前,比特币核心开发者选择了无视
别只盯着交易量,教你看懂永续合约的「真假繁荣」
华尔街 2.0:Ondo Finance 达成银行和代币化之间的开创性联盟
要点:Ondo Finance、贝莱德和白宫之间的联盟有望通过使用区块链技术将股票代币化来彻底改变金融市场……
联合国教科文组织警告称,到 2028 年,人工智能的颠覆性发展可能会使创作者的收入减少近 25%
关键要点:联合国教科文组织警告称,人工智能生成的内容可能会导致音乐创作者的收入损失高达24%……
全民转向AI,加密并不是为人类设计的?
WEEX AI 交易黑客马拉松:关于人工智能交易和预测市场未来的 3 个关键见解
深入了解 WEEX AI 交易黑客马拉松 AMA 的关键要点。从平台构建者、预测市场专家和获奖交易员那里获得关于人工智能交易未来、如何交易社交情绪以及为什么人机协作是终极优势的 3 个关键见解。