La faille de Balancer V2 cause des pertes de plus de 116 millions de dollars, plusieurs protocoles cross-chain touchés.

Titre original : « L’ancienne DeFi s’effondre : faille dans le contrat Balancer V2, plus de 1,1 milliard de dollars d’actifs volés »

Auteur original : Wenser, Odaily

Le 3 novembre, le protocole DeFi historique Balancer a été victime d’un vol de plus de 70 millions de dollars d’actifs. Par la suite, cette information a été confirmée par plusieurs sources et le montant des fonds volés n’a cessé d’augmenter. Au moment de la rédaction, le montant total des actifs volés sur Balancer dépasse 116 millions de dollars. Odaily propose dans cet article une brève analyse de l’incident.

Détails du vol sur Balancer : plus de 116 millions de dollars perdus, la cause principale étant une faille dans le smart contract du pool v2

Selon les informations on-chain, le montant total des fonds volés par l’attaquant de Balancer a dépassé 116 millions de dollars, les principaux actifs dérobés étant WETH, wstETH, osETH, frxETH, rsETH, rETH, répartis sur plusieurs blockchains telles que ETH, Base, Sonic, etc. Parmi eux :

· Actifs volés sur la blockchain Ethereum : environ 100 millions de dollars ;

· Actifs volés sur la blockchain Arbitrum : environ 8 millions de dollars ;

· Actifs volés sur la blockchain Base : environ 3,95 millions de dollars ;

· Actifs volés sur la blockchain Sonic : plus de 3,4 millions de dollars ;

· Actifs volés sur la blockchain Optimism : environ 1,57 million de dollars ;

· Actifs volés sur la blockchain Polygon : environ 230 000 dollars.

Le KOL crypto Adi a déclaré dans un post qu’une enquête préliminaire montre que l’attaque visait principalement les coffres-forts V2 et les pools de liquidité de Balancer, exploitant une faille dans l’interaction du smart contract. Les enquêteurs on-chain ont indiqué qu’un contrat malveillant déployé a manipulé l’appel du Vault lors de l’initialisation du pool de liquidité. Une gestion incorrecte des autorisations et des callbacks a permis à l’attaquant de contourner les mesures de protection, rendant possible des swaps ou manipulations de soldes non autorisés entre les pools de liquidité interconnectés, ce qui a permis de voler rapidement des actifs en quelques minutes.

D’après les informations disponibles, il n’y a pas eu de fuite de clé privée ; il s’agit d’une faille purement liée au smart contract.

L’auditeur de kebabsec et développeur de citrea @okkothejawa a également déclaré : « (L’erreur de vérification mentionnée par @moo9000) n’est peut-être pas la cause fondamentale, car dans tous les appels ‘manageUserBalance’, ops.sender == msg.sender. La faille de sécurité pourrait s’être produite lors de la transaction précédant la création du contrat d’extraction d’actifs, car elle a entraîné un changement d’état dans le coffre-fort de Balancer. »

Balancer a également répondu officiellement : « L’équipe officielle est au courant d’une faille potentielle affectant les pools Balancer v2. Nos équipes d’ingénierie et de sécurité enquêtent en priorité. Dès que nous aurons plus d’informations, nous partagerons immédiatement des mises à jour vérifiées et les prochaines étapes. »

Berachain, qui présente également un risque potentiel de perte d’actifs, a réagi immédiatement. Après une publication de la Berachain Foundation, le fondateur de Berachain, Smokey The Bera, a déclaré : « Le groupe de nœuds Bera a volontairement suspendu le fonctionnement de la blockchain publique afin d’éviter que la faille de Balancer n’affecte BEX (principalement le pool USDe).

· Demander à l’équipe Ethena de désactiver le bridge Bera

· Désactiver/suspendre les dépôts USDe sur le marché du prêt

· Suspendre la frappe et l’échange du token HONEY

· Communiquer avec les CEX, etc., pour s’assurer que les adresses des hackers sont blacklistées

Notre objectif est de récupérer les fonds dès que possible et d’assurer la sécurité de tous les LP. L’équipe Berachain publiera le fichier binaire aux validateurs de nœuds et aux fournisseurs de services concernés dès qu’elle sera prête (étant donné que ce pool contient des actifs non natifs, cela implique une certaine reconstruction des slots, et pas seulement une modification du solde du token Bera). »

Après le vol sur Balancer, les plus inquiets sont les crypto-whales

En tant que protocole DeFi historique, les utilisateurs de Balancer sont sans aucun doute les plus directement touchés par ce vol. Pour les utilisateurs actuels, les actions possibles incluent :

· Retirer les fonds des pools Balancer v2 pour éviter d’aggraver les pertes ;

· Révoquer les autorisations : utiliser Revoke, DeBank ou Etherscan pour annuler les autorisations de smart contract de l’adresse Balancer, afin d’éviter tout risque de sécurité potentiel ;

· Rester attentif : surveiller de près les prochaines actions de l’attaquant de Balancer et vérifier s’il y aura un effet domino sur d’autres protocoles DeFi.

De plus, un crypto-whale dormant depuis 3 ans a attiré l’attention du marché lors de cet incident.

Selon la surveillance de LookonChain, un whale crypto dormant depuis 3 ans, 0×0090, s’est réveillé juste après la faille sur Balancer, cherchant à retirer en urgence ses actifs d’une valeur de 6,5 millions de dollars de la plateforme.

Développements ultérieurs : le hacker commence à échanger les tokens volés

Selon l’analyste on-chain Yu Jin, le hacker de l’incident Balancer a déjà commencé à tenter d’échanger de nombreux tokens de staking liquide (LST) contre de l’ETH ; auparavant, il avait échangé 10 osETH contre 10,55 ETH.

Les informations on-chain montrent que le hacker utilise Cow Protocol pour convertir continuellement les actifs volés sur plusieurs chaînes en ETH, USDC et autres actifs. À l’heure actuelle, il semble peu probable que ces actifs volés soient récupérés.

Par la suite, la capacité de Balancer à identifier rapidement la faille du contrat du protocole, à récupérer les actifs volés ou à fournir une solution appropriée sera suivie de près par Odaily.