Od Balancer do Berachain, gdy blockchain zostaje wstrzymany
Luka ujawniła sprzeczność między bezpieczeństwem DeFi a decentralizacją.
Luka ujawnia sprzeczność między bezpieczeństwem DeFi a decentralizacją
Autor: ChandlerZ, Foresight News
Świat DeFi ponownie znalazł się w oku cyklonu.
W dniu 3 listopada kilka projektów opartych na architekturze Balancer V2 padło ofiarą starannie zaplanowanego ataku, którego łączna strata przekroczyła 120 milionów dolarów. Incydent ten dotknął nie tylko główną sieć Ethereum, ale rozprzestrzenił się także na Arbitrum, Sonic, Berachain i inne łańcuchy, stając się – po wydarzeniach związanych z Euler Finance i Curve Finance – kolejnym wstrząsającym całą branżę incydentem bezpieczeństwa.
Wstępna analiza BlockSec wskazuje, że był to „wysoce złożony atak manipulacji ceną”, którego sedno polegało na tym, że atakujący zniekształcili logikę obliczania ceny BPT (Balancer Pool Token), wykorzystując błąd zaokrągleń w inwariancie (Invariant), co doprowadziło do zafałszowania ceny i umożliwiło wielokrotne arbitraże w jednej transakcji zbiorczej.
Na przykładzie transakcji ataku na Arbitrum, atak przebiegał w trzech etapach:
- Atakujący najpierw wymieniał BPT na aktywa bazowe, precyzyjnie dostosowując saldo cbETH do granicy zaokrąglenia (około 9), tworząc warunki do późniejszej utraty precyzji;
- Następnie, określoną ilość (=8) wymieniano między innym aktywem bazowym wstETH a cbETH; z powodu zaokrąglenia w dół podczas skalowania, obliczona Δx była nieco mniejsza, przez co Δy została zaniżona, co skutkowało zmniejszeniem inwariantu D w puli stabilnej i obniżeniem teoretycznej ceny BPT;
- Na końcu atakujący wymieniał aktywa bazowe z powrotem na BPT, osiągając zysk z arbitrażu na zaniżonej cenie.
Krótko mówiąc, był to precyzyjny atak oparty na granicach matematyki i kodu.
Oficjalny Balancer potwierdził, że V2 Composable Stable Pools padły ofiarą ataku z wykorzystaniem luki. Zespół współpracuje obecnie z czołowymi badaczami bezpieczeństwa nad dochodzeniem i zobowiązał się jak najszybciej udostępnić pełny raport po incydencie. Wszystkie dotknięte pule, które można było wstrzymać, zostały natychmiast zamrożone i przełączone w tryb odzyskiwania. Wpływ tej luki ogranicza się wyłącznie do V2 Composable Stable Pools i nie dotyczy Balancer V3 ani innych typów pul.
Po wybuchu incydentu z luką w Balancer V2, projekty forkowane z Balancer również doświadczyły gwałtownych wahań. Według danych DeFiLlama, na dzień 4 listopada, łączna wartość zablokowana (TVL) w tych projektach wynosiła jedynie około 49,34 miliona dolarów, co oznacza spadek o 22,88% w ciągu jednego dnia. Wśród nich BEX, będący natywną DEX Berachain, odnotował spadek TVL o 26,4% do 40,27 miliona dolarów, nadal stanowiąc 81,6% całego ekosystemu, lecz z powodu zatrzymania łańcucha i zamrożenia płynności odpływ środków trwa. Inny poszkodowany, Beets DEX, ucierpiał jeszcze bardziej – w ciągu 24 godzin TVL spadło o 75,85%, a w ciągu ostatnich 7 dni łącznie o prawie 79%.
Oprócz wymienionych wyżej protokołów, inne DEX oparte na architekturze Balancer również doświadczyły paniki i masowego wycofywania środków. PHUX spadł o 26,8% w jeden dzień, Jellyverse o 15,5%, a Gaming DEX aż o 89,3%, praktycznie tracąc całą płynność. Nawet średnie i małe projekty, które nie ucierpiały bezpośrednio, takie jak KLEX Finance, Value Liquid, Sobal i inne, odnotowały ogólnie odpływ środków na poziomie 5%–20%.

Efekt domina zaczyna być widoczny, Berachain przeprowadza awaryjny hard fork
Luka w Balancer V2 szybko wywołała jeszcze większy efekt domina.
Nowa publiczna sieć Berachain, zbudowana na Cosmos SDK, również została zaatakowana w ciągu kilku godzin, ponieważ BEX korzystał z tej samej architektury kontraktów Balancer V2. Fundacja, po wykryciu nieprawidłowości, natychmiast ogłosiła „zatrzymanie całego łańcucha”.
Według doniesień, aktywa w pulach płynności BEX, takich jak USDe Tripool, były zagrożone, a skala zagrożonych środków wyniosła około 12 milionów dolarów. Atakujący wykorzystali ten sam błąd logiczny co w Balancer, kradnąc środki poprzez wiele interakcji ze smart kontraktami. Ponieważ część aktywów to tokeny nienatywne, zespół musiał przeprowadzić hard fork i cofnąć część bloków, aby przywrócić i śledzić środki.
Jednocześnie wiele protokołów ekosystemu Berachain, w tym Ethena, Relay, HONEY i inne, podjęło środki obronne:
- Zakazano transferów USDe między łańcuchami;
- Zawieszono wpłaty na rynku pożyczkowym;
- Zatrzymano mintowanie i wykup HONEY;
- Poinformowano scentralizowane giełdy o podejrzanych adresach do umieszczenia na czarnej liście.
Fundacja Berachain poinformowała, że zatrzymanie sieci było zaplanowane, a sieć wkrótce wznowi normalne działanie. Luka w Balancer dotknęła głównie pul Ethena/Honey, a atak przeprowadzono za pomocą stosunkowo złożonych transakcji smart kontraktów. Ponieważ luka dotyczyła aktywów nienatywnych (nie tylko BERA), proces cofania/przewijania nie był prostym hard forkiem, dlatego do czasu ustalenia ostatecznego rozwiązania sieć pozostanie wstrzymana, by umożliwić kompleksowe działania naprawcze.
4 listopada fundacja Berachain poinformowała, że pliki binarne hard forka zostały już rozesłane, a część węzłów walidatorów została zaktualizowana. Przed ponownym uruchomieniem sieci i generowaniem bloków chcą się upewnić, że kluczowa infrastruktura (np. wyrocznie likwidacyjne) zaktualizowała swoje RPC, ponieważ to one będą główną przeszkodą w przywróceniu działania łańcucha. Po zakończeniu aktualizacji usług podstawowych zespół będzie współpracował z mostami międzyłańcuchowymi, partnerami CEX i instytucjami powierniczymi w celu przywrócenia usług.
Jednocześnie operator robota MEV Berachain skontaktował się z fundacją po zatrzymaniu łańcucha, twierdząc, że jako „white hat” wycofał środki i wysłał wiadomość on-chain. Zadeklarował gotowość do wcześniejszego podpisania serii transakcji, aby po wznowieniu działania blockchaina zwrócić środki.
Bezpieczeństwo czy decentralizacja?
„Wiemy, że to kontrowersyjne, ale gdy zagrożone jest około 12 milionów dolarów środków użytkowników, ochrona użytkowników jest jedynym wyborem.” – powiedział Smokey The Bera, współzałożyciel Berachain, odpowiadając na zarzuty społeczności dotyczące „centralizacji”.
W oświadczeniu przyznał, że Berachain nie osiągnął jeszcze poziomu decentralizacji Ethereum, a mechanizm koordynacji walidatorów bardziej przypomina „sztab kryzysowy” niż zautomatyzowaną sieć konsensusu. Faktem jest, że węzły sieci zostały wyłączone w ciągu godziny od wykrycia luki, co pokazuje efektywność scentralizowanego podejmowania decyzji, ale także ujawnia stopień centralizacji zarządzania.
Reakcja społeczności natychmiast się podzieliła.
Zwolennicy uważają, że to dowód odpowiedzialności zespołu za bezpieczeństwo użytkowników i „realistyczna decentralizacja”; przeciwnicy zarzucają, że to naruszenie zasady „Code is Law” i jawna zdrada nieodwracalności łańcucha.
On-chain detektyw ZachXBT skomentował: „Gdy środki użytkowników są poważnie zagrożone, to trudna, ale słuszna decyzja.”
Jednak niektórzy radykalni deweloperzy stwierdzili wprost: „Jeśli blockchain można w każdej chwili wstrzymać ręcznie, to czym różni się od tradycyjnego systemu finansowego?”
Cień wydarzenia DAO powraca
To zamieszanie przypomniało wielu branżowym ekspertom o ataku na DAO Ethereum w 2016 roku. Wówczas, aby odzyskać skradzione 50 milionów dolarów, społeczność Ethereum zdecydowała się na hard fork i cofnięcie transakcji, co doprowadziło do podziału na Ethereum (ETH) i Ethereum Classic (ETC).
Dziewięć lat później podobny wybór pojawia się ponownie.
Różnica polega na tym, że tym razem głównym bohaterem jest publiczny łańcuch będący we wczesnej fazie rozwoju, który nie osiągnął jeszcze wystarczającego poziomu decentralizacji ani nie posiada globalnego konsensusu.
Interwencja Berachain zapobiegła większym stratom, ale ponownie wywołała filozoficzne pytanie: „czy blockchain naprawdę może być autonomiczny?”
W pewnym sensie to także lustro dla ekosystemu DeFi: bezpieczeństwo, efektywność, decentralizacja – równowaga między tymi trzema nigdy nie została naprawdę osiągnięta.
Kiedy hakerzy mogą w kilka sekund zniszczyć aktywa warte dziesiątki milionów dolarów, „ideały” często muszą ustąpić miejsca „rzeczywistości”.
Oficjalny Balancer poinformował, że zespół współpracuje z czołowymi badaczami bezpieczeństwa, planuje opublikować pełny raport po incydencie i ostrzega użytkowników przed fałszywymi wiadomościami od rzekomych zespołów bezpieczeństwa.
Berachain przewiduje natomiast, że po zakończeniu hard forka stopniowo przywróci produkcję bloków i funkcje transakcyjne.
Jednak odbudowa zaufania jest trudniejsza niż naprawa luki. Dla nowej publicznej sieci zatrzymanie łańcucha to krótkoterminowe gaszenie pożaru, które może jednak pozostawić długotrwałe blizny w społeczności. Użytkownicy będą kwestionować autentyczność decentralizacji, a deweloperzy będą się martwić o gwarancję niezmienności.
Świat DeFi być może na nowo definiuje decentralizację – nie jako absolutną swobodę, lecz jako konsensus minimalnego kompromisu w obliczu kryzysu.
Zastrzeżenie: Treść tego artykułu odzwierciedla wyłącznie opinię autora i nie reprezentuje platformy w żadnym charakterze. Niniejszy artykuł nie ma służyć jako punkt odniesienia przy podejmowaniu decyzji inwestycyjnych.
Może Ci się również spodobać
MARA odnotowuje rekordowy zysk w wysokości 123 milionów dolarów, łącząc operacje bitcoin z nowymi aktywami energetycznymi i AI
Szybki przegląd: MARA pogłębia swoją transformację z czysto bitcoinowego górnictwa w stronę posiadania energii oraz infrastruktury skoncentrowanej na AI, odzwierciedlając szersze trendy w całym sektorze. Pomimo rekordowych zysków, akcje MARA pozostają w tyle za konkurencją, handlując obecnie w pobliżu 17,80 USD — co oznacza spadek o ponad 13% w ciągu ostatniego miesiąca.

Udziały firmy skarbowej Solana Upexi wzrosły o 4,4% do ponad 2,1 miliona SOL
Upexi dodało kolejne 88 750 SOL od ostatniej aktualizacji z 10 września, zwiększając swoje łączne zasoby do ponad 2,1 miliona SOL. Firma zarządzająca skarbcem skoncentrowana na Solana poinformowała również o 82% wzroście dostosowanej wartości SOL na akcję oraz o 96% zwrocie dla inwestorów od czasu prywatnej emisji akcji w kwietniu.

"Własna moc, zdobądź umowę z Microsoft wartą 9,7 miliarda dolarów": Bernstein podnosi cenę docelową IREN do 125 dolarów po lukratywnym kontrakcie na chmurę AI
Analitycy z Bernstein podnieśli swoją cenę docelową dla bitcoin minera IREN z 75 do 125 dolarów, powołując się na niedawno ogłoszony pięcioletni kontrakt AI cloud z Microsoft o wartości 9,7 miliarda dolarów. Według analityków, posiadanie przez IREN portfela energetycznego o mocy 2,9 GW daje firmie strukturalną przewagę kosztową i skalowalności nad rywalami, takimi jak CoreWeave.

Top 3 kryptowaluty, które według analityków mogą wzrosnąć 100-krotnie: Ozak AI, DOGE i XRP

