Le problème de code de Balancer a causé une perte de plus de 100 millions, infligeant un coup presque dévastateur à l'industrie DeFi.

Titre original : « La vieille garde DeFi s'effondre : faille dans le contrat Balancer V2, plus de 1.1 milliards de dollars d'actifs volés »

Auteur original : Wenser, Odaily

Note de Rhythm : Aujourd'hui, le protocole DeFi Balancer a été victime d'une attaque de hacker, le montant des fonds volés ayant déjà dépassé 1,16 milliards de dollars. Plusieurs projets ont pris des mesures d'urgence : Lido a retiré ses positions Balancer non affectées ; Berachain a annoncé la suspension immédiate de son réseau afin de procéder à un hard fork d'urgence pour corriger la faille liée à Balancer V2 sur BEX.

De plus, Hasu, directeur stratégique de Flashbots et conseiller stratégique de Lido, a déclaré : « Balancer v2 a été lancé en 2021 et est depuis devenu l'un des contrats intelligents les plus surveillés et fréquemment forkés. C'est extrêmement préoccupant. Chaque fois qu'un contrat en ligne depuis si longtemps est attaqué, cela fait reculer l'adoption de la DeFi de 6 à 12 mois. » Voici le contenu original :

Le 3 novembre, le protocole DeFi historique Balancer a été victime d'un vol de plus de 70 millions de dollars d'actifs. Par la suite, l'information a été confirmée par plusieurs sources, et le montant des fonds volés n'a cessé d'augmenter. Au moment de la rédaction, le montant des actifs volés sur Balancer a dépassé 1,16 milliards de dollars. Odaily propose dans cet article une brève analyse de l'incident.

Détails du vol sur Balancer : pertes supérieures à 1,16 milliards de dollars, principalement dues à une faille dans le contrat intelligent du pool v2

Selon les informations on-chain, le montant des fonds volés par l'attaquant de Balancer a dépassé 1,16 milliards de dollars, les principaux actifs dérobés étant WETH, wstETH, osETH, frxETH, rsETH, rETH, répartis sur plusieurs chaînes telles que ETH, Base, Sonic, etc., dont :

· Actifs volés sur la chaîne Ethereum : environ 100 millions de dollars ;

· Actifs volés sur la chaîne Arbitrum : près de 8 millions de dollars ;

· Actifs volés sur la chaîne Base : près de 3,95 millions de dollars ;

· Actifs volés sur la chaîne Sonic : plus de 3,4 millions de dollars ;

· Actifs volés sur la chaîne Optimism : près de 1,57 millions de dollars ;

· Actifs volés sur la chaîne Polygon : environ 230 000 dollars.

Le KOL crypto Adi a indiqué dans un post que l'enquête préliminaire montre que l'attaque visait principalement les coffres V2 et les pools de liquidité de Balancer, exploitant une faille dans l'interaction des contrats intelligents. Les enquêteurs on-chain ont souligné qu'un contrat malveillant déployé a manipulé l'appel du Vault lors de l'initialisation du pool de liquidité. Une gestion incorrecte des autorisations et des callbacks a permis à l'attaquant de contourner les mesures de protection, rendant possible des swaps ou manipulations de soldes non autorisés entre les pools de liquidité interconnectés, ce qui a permis de voler rapidement des actifs en quelques minutes.

D'après les informations disponibles, il n'y a pas eu de fuite de clé privée, il s'agit d'une faille purement liée au contrat intelligent.

Un auditeur de la société d'audit kebabsec et développeur de citrea, @okkothejawa, a également déclaré : « (L'erreur de vérification mentionnée par @moo9000) n'est peut-être pas la cause fondamentale, car dans tous les appels 'manageUserBalance', ops.sender == msg.sender. La faille de sécurité pourrait s'être produite dans la transaction précédant la création du contrat de retrait d'actifs, car elle a entraîné un changement d'état dans le Vault de Balancer. »

Balancer a également répondu officiellement : « L'équipe officielle est au courant de la faille potentielle affectant les pools Balancer v2. Nos équipes d'ingénierie et de sécurité enquêtent en priorité. Dès que nous aurons plus d'informations, nous partagerons immédiatement des mises à jour vérifiées et les prochaines étapes. »

Berachain, qui présente également un risque potentiel de perte d'actifs, a réagi immédiatement. Après une publication de la Berachain Foundation, le fondateur de Berachain, Smokey The Bera, a déclaré : « Le groupe de nœuds Bera a volontairement suspendu le fonctionnement de la blockchain publique afin de prévenir l'impact de la faille Balancer sur BEX (principalement le pool USDe).

· Demander à l'équipe Ethena de désactiver le bridge Bera

· Désactiver/suspendre les dépôts USDe sur le marché du prêt

· Suspendre la frappe et l'échange du token HONEY

· Communiquer avec les CEX, etc., pour s'assurer que l'adresse du hacker soit blacklistée

Notre objectif est de récupérer les fonds le plus rapidement possible et d'assurer la sécurité de tous les LP. L'équipe Berachain publiera un binaire aux validateurs de nœuds et fournisseurs de services concernés dès qu'elle sera prête (étant donné que ce pool contient des actifs non natifs, cela implique une certaine reconstruction des slots, et pas seulement une modification du solde du token Bera). »

Après le vol sur Balancer, les plus inquiets sont les crypto whales

En tant que protocole DeFi historique, les utilisateurs de Balancer sont sans aucun doute les plus directement touchés par ce vol. Pour les utilisateurs actuels, les actions possibles incluent :

· Retirer les fonds des pools Balancer v2 pour éviter d'aggraver les pertes ;

· Révoquer les autorisations : utiliser Revoke, DeBank ou Etherscan pour annuler les permissions de contrat intelligent de l'adresse Balancer, afin d'éviter tout risque de sécurité potentiel ;

· Rester vigilant : surveiller de près les prochaines actions de l'attaquant de Balancer et vérifier s'il y aura un effet domino sur d'autres protocoles DeFi.

Par ailleurs, un crypto whale endormi depuis 3 ans a attiré l'attention du marché lors de cet incident.

Selon la surveillance de LookonChain, un crypto whale 0x0090, inactif depuis 3 ans, s'est soudainement réveillé après la faille sur Balancer, cherchant à retirer en urgence ses 6,5 millions de dollars d'actifs liés à Balancer.

Développements ultérieurs : le hacker commence à échanger les tokens volés

Selon l'analyste on-chain Yu Jin, le hacker de l'incident Balancer a déjà commencé à tenter de convertir de nombreux tokens de liquid staking (LST) en ETH, ayant précédemment échangé 10 osETH contre 10,55 ETH.

Les informations on-chain montrent que le hacker utilise Cow Protocol pour convertir en continu les actifs volés sur plusieurs chaînes en ETH, USDC, etc. À l'heure actuelle, les chances de récupérer ces actifs semblent très minces.

Par la suite, la capacité de Balancer à identifier rapidement la faille du contrat du protocole et à récupérer les actifs volés ou à fournir une solution appropriée sera suivie de près par Odaily.

Lien vers l'article original