Balancer touché par une exploitation alors que 128 millions de dollars sont déplacés des coffres-forts

Le protocole de finance décentralisée (DeFi) Balancer a perdu 128 millions de dollars après avoir subi une exploitation malveillante. Les données on-chain montrent que plus de 128 millions de dollars d'actifs ont été retirés des coffres-forts du protocole. 

Les fonds volés comprennent osETH, WETH et wstETH, l'exploitant consolidant les actifs volés, suscitant des inquiétudes concernant le blanchiment d'argent. 

Balancer frappé par une exploitation 

Balancer, un protocole de finance décentralisée (DeFi) de premier plan, a été frappé par une exploitation majeure, les données on-chain montrant que plus de 128 millions de dollars d'actifs ont été déplacés vers un nouveau portefeuille. Selon les données de la blockchain, les fonds volés comprennent 6 850 osETH, 6 590 WETH et 4 260 wstETH, le piratage affectant les coffres-forts sur Balancer v2. Les coffres-forts v2 du protocole agissent comme son moteur central de liquidité, agrégeant les jetons et facilitant les échanges entre les pools de liquidité. L'équipe de Balancer a reconnu le piratage sur X, déclarant, 

Les coffres-forts sur Sonic, Polygon et Base ont également été touchés. 

Mikko Ohtamaa, cofondateur et PDG de Trading Strategy, a noté que l'analyse préliminaire de l'attaque indique un smart contract défectueux comme cause principale de l'attaque. Il a ajouté que bien que toutes les versions de Balancer n'aient pas été affectées, les pertes pourraient être plus élevées si les anciens forks v2 partagent la même vulnérabilité utilisée par l'attaquant. La société de sécurité PeckShield a déclaré que l'attaque est toujours en cours sur plusieurs chaînes sur lesquelles Balancer est déployé. 

Comment l'attaque s'est déroulée 

Selon la société de sécurité Decurity, l'attaque s'est produite en raison d'un contrôle d'accès défectueux dans la fonction "manageUserBalance" de Balancer. La vulnérabilité se trouvait dans ValidateUserBalanceOp, qui vérifie msg.sender par rapport à un op.sender fourni par l'utilisateur, une faille logique qui permet des retraits non autorisés via l'opération UserBalanceOpKind.WITHDRAW_INTERNAL. 

En termes plus simples, la vulnérabilité a permis aux attaquants de déclencher des retraits de solde internes à partir des smart contracts de Balancer sans les autorisations requises. 

Les experts en sécurité on-chain ont souligné que l'adresse de l'attaquant a déjà commencé à consolider les actifs, suscitant des inquiétudes quant à leur préparation pour blanchir les fonds via des mixeurs décentralisés. 

Une troisième exploitation 

Balancer est une plateforme décentralisée construite sur Ethereum qui permet aux utilisateurs d'échanger des jetons et de fournir de la liquidité en utilisant ses pools auto-équilibrés. Le protocole est actif depuis 2020 et détient plus de 350 millions de dollars en TVL sur Ethereum seul. Le dernier incident est la troisième violation de sécurité connue pour Balancer. La plateforme a précédemment subi des exploitations en 2021 et 2023, perdant des millions. Les experts on-chain ont déclaré que le coffre-fort est le principal smart contract de Balancer, détenant des jetons de chaque pool Balancer. 

La conception a été introduite dans Balancer v2 et sépare la comptabilité des jetons de la logique de pool, rendant les pools plus petits, plus simples et plus sûrs à construire. Cette approche a permis à quiconque d'intégrer une nouvelle conception de pool sans créer un nouveau DEX.

Avertissement : Cet article est fourni à titre informatif uniquement. Il n'est pas offert ou destiné à être utilisé comme conseil juridique, fiscal, d'investissement, financier ou autre.