Balancer выявил ошибку округления как основную причину эксплойта в мультицепочечном DeFi
Balancer опубликовал предварительный отчет по инциденту 3 ноября, в результате которого миллионы активов были выведены из Composable Stable Pools на разных сетях. Протокол указал на ошибку округления в логике обмена, которую злоумышленники использовали для манипулирования балансами пулов и извлечения выгоды.
DeFi-протокол Balancer опубликовал предварительный отчет о происшествии, связанном с эксплойтом 3 ноября, в результате которого из его Composable Stable Pools (CSPs) на нескольких сетях, включая Ethereum, Base, Avalanche, Arbitrum, Optimism, Gnosis, Polygon, Berachain и Sonic, были выведены десятки миллионов.
Как ранее сообщал The Block, децентрализованный автоматизированный маркет-мейкер (AMM) и платформа ликвидности столкнулись с массовым оттоком средств из своего хранилища. Первоначальные оценки убытков быстро выросли с примерно 70 миллионов долларов до более чем 128 миллионов долларов всего за несколько часов, как сообщили аналитические блокчейн-платформы, такие как Nansen и Peckshield.
По данным Balancer, его партнер по безопасности Hypernative первым обнаружил подозрительную активность рано утром в понедельник. Затем были привлечены несколько участников и whitehat-реагирующих, таких как SEAL 911, BitFinding и StakeWise, чтобы помочь остановить утечку средств.
Коренная причина: ошибка округления в логике обмена
В своем предварительном отчете Balancer объяснил, что эксплойт произошел из-за ошибки округления в функции upscale для EXACT_OUT-свопов в функции batchSwap хранилища v2. Эта функция позволяет пользователям объединять несколько операций обмена в одну транзакцию для экономии газа.
Злоумышленники воспользовались особенностями отложенного расчета в composable pools, что позволило ликвидности опускаться ниже минимальных порогов, объяснила команда. В частности, баг возникал, когда нецелые коэффициенты масштабирования приводили к округлению вниз при определенных расчетах, создавая небольшие расхождения, которые атакующий использовал для манипулирования балансами и вывода средств.
Во многих случаях средства сначала переводились на внутренние балансы хранилища Balancer, а затем выводились через последующие транзакции. Баг в основном затронул Composable Stable v5 pools с истекшими окнами паузы, в то время как автоматизация экстренных мер Hypernative автоматически приостановила v6 pools.
«Инцидент был ограничен Composable Stable Pools на Balancer v2 и его форках в других сетях, таких как BEX и Beets», — написал Balancer. «Balancer v3 и все остальные типы пулов не пострадали».
Тем временем, CSPv6 pools были автоматически переведены в режим восстановления под экстренным управлением.
Мультичейновое воздействие и восстановление
Balancer сообщил, что атака затронула несколько сетей и форков, включая BEX на Berachain, Beets на Sonic и развертывания на базе Gnosis. Однако партнеры экосистемы инициировали экстренные меры для сдерживания последствий. StakeWise DAO удалось вернуть примерно 19 миллионов osETH и 1,7 миллиона osGNO, что составляет около 73,5% украденных osETH. Валидаторы Berachain остановили сеть для проведения экстренного хардфорка, устраняющего уязвимость BEX v2, который был завершен 4 ноября.
Кроме того, Sonic Labs заморозила подозрительные адреса злоумышленников, ограничив перемещение средств, связанных с их форком Balancer. Gnosis временно ограничил активность мостов для предотвращения межсетевого распространения, а Monerium заморозил 1,3 миллиона EURe в затронутом хранилище.
Также BitFinding и Base MEV-боты вернули меньшие суммы — около 750 000 долларов в общей сложности — обратно в Balancer DAO. Команда добавила, что часть затронутых активов была возвращена или заморожена, и что окончательный подтвержденный отчет будет опубликован после завершения сверки всеми партнерами в блокчейне.
Balancer утверждает, что любые циркулирующие оценки убытков не подтверждены до завершения независимой проверки.
Меры по снижению ущерба и дальнейшие шаги
В рамках реагирования Balancer отключил фабрику CSPv6, чтобы предотвратить создание новых уязвимых пулов, и остановил начисление ликвидности для затронутых пулов, чтобы прекратить дальнейшие эмиссии.
Кроме того, команда разрешила выход из пулов с приостановленной работой для безопасного вывода средств.
Юридическая структура Safe Harbor протокола (BIP-726), принятая в прошлом году, позволила whitehat-командам немедленно вмешаться без юридических рисков, что, по словам Balancer, «существенно улучшило скорость реагирования и координацию».
Окончательный отчет, включающий подтвержденные данные о потерях и восстановленных средствах, ожидается «после завершения всех проверок партнерами», согласно последнему обновлению от Balancer.
Дисклеймер: содержание этой статьи отражает исключительно мнение автора и не представляет платформу в каком-либо качестве. Данная статья не должна являться ориентиром при принятии инвестиционных решений.
Вам также может понравиться
Голливуд готовит "возвращение кинопроизводства"! Экономика США стоит на пороге "мягкой посадки", а новый стимуляционный план на 249,1 миллиарда долларов поддержит киноиндустрию.
Исследование показало, что федеральные стимулирующие меры для производства фильмов и телевидения принесут экономике США доход в размере 249,1 миллиарда долларов к 2035 году и создадут 143 500 новых рабочих мест на полную ставку. Американская ассоциация кино вместе с голливудскими профсоюзами ведет кампанию за национальные стимулирующие меры, чтобы эффективно конкурировать с такими рынками, как Великобритания и Австралия.
Сегодня вечером – "голубиное повышение ставки"?
Повышение ставки ФРС сегодня вечером почти решено, однако ключевым моментом будет то, что скажут после повышения. Citi определяет это как «микронастройку», намекая на отсутствие необходимости дальнейшего повышения в будущем, но предупреждает, что если председатель Уош не даст чёткого прогноза, это вызовет резкие колебания на рынке. Goldman Sachs прямо заявляет, что текущее повышение ставки не имеет достаточных экономических оснований, инфляция является лишь разовой причиной, и ожидается, что это будет «повышение без сигналов».
JPMorgan: «Открытый исходный код» и «безопасность ИИ» не являются проблемами, в ближайшие два года капитальные расходы сохранят потенциал роста, полупроводниковое оборудование станет «новым узким местом»
JPMorgan считает, что открытые модели не представляют угрозы, регуляторные потрясения носят краткосрочный характер, а левередж облачных провайдеров по-прежнему низок — фундаментальные основы инвестиций в вычислительные мощности не изменились. Прогнозируется, что капитальные расходы семи технологических гигантов вырастут с 443 млрд долларов в 2025 году до 1,577 трлн долларов в 2027 году. Оборудование для производства полупроводников станет ключевым узким местом в цепочке поставок, а отрасли контрактного производства чипов и передовой упаковки ждёт новый виток роста цен.
Цены на крипто
Далее
