Le protocole de finance décentralisée (DeFi) Balancer a publié un rapport préliminaire d'analyse post-mortem détaillant l'exploitation sophistiquée qui a entraîné la perte d'environ 116 millions de dollars. L'attaque, qui a ciblé des pools Balancer v2 Stable Pools et Composable Stable v5 spécifiques, a incité le protocole à suspendre les pools affectés et à désactiver la création de nouveaux pools vulnérables.
Points clés à retenir
-
L'exploitation a ciblé les pools Balancer v2 Stable Pools et Composable Stable v5.
-
Une combinaison de BatchSwaps, de flashloans et d'une faille dans la fonction d'arrondi à l'échelle supérieure a été utilisée.
-
Balancer travaille avec des partenaires de l'industrie pour récupérer les fonds et a offert une prime.
Le mécanisme d'exploitation
La violation a été exécutée par une méthode complexe impliquant la fonctionnalité BatchSwaps de Balancer, qui permet plusieurs actions au sein d'une seule transaction. L'attaquant a combiné cela avec des flashloans et a exploité une vulnérabilité dans la fonction d'arrondi à l'échelle supérieure au sein des Stable Pools. Cette fonction est conçue pour arrondir à la baisse lorsque les prix des jetons sont saisis, mais le pirate a trouvé un moyen de manipuler ces valeurs d'arrondi. En conjonction avec les BatchSwaps, cela leur a permis de drainer des fonds des pools stables, les fonds exploités restant souvent sous forme de soldes internes dans le Vault avant d'être retirés.
Réponse de l'industrie et efforts de récupération
Les analystes de sécurité suggèrent que les attaquants étaient des professionnels hautement qualifiés qui ont méticuleusement planifié l'opération, potentiellement pendant des mois. Pour brouiller leurs pistes, ils ont financé l'attaque en utilisant de petits dépôts incrémentiels de 0,1 Ether via Tornado Cash. Balancer a collaboré avec des partenaires de cybersécurité et d'autres protocoles DeFi pour retracer et geler une partie des actifs volés. Notamment, environ 5 041 StakeWise Staked ETH (osETH), d'une valeur d'environ 19 millions de dollars, et 13 495 jetons osGNO, d'une valeur allant jusqu'à 2 millions de dollars, ont été retracés et gelés.
Actions de Balancer et garanties futures
En réponse à l'incident, Balancer a suspendu tous les pools affectés et a arrêté la création de nouveaux pools "vulnérables" jusqu'à ce qu'un correctif de sécurité permanent soit mis en œuvre. Le protocole a également offert une prime de 20% de "white hat" aux hackers éthiques ou à l'auteur pour le retour des fonds volés, bien qu'aucune réclamation n'ait été faite à la date de ce rapport. L'équipe procède à un examen complet du code et coordonne des audits supplémentaires par des tiers avant de rouvrir les pools compromis. Les leçons tirées de cette attaque seront intégrées dans de nouveaux modèles de garanties pour toutes les futures versions de pools, soulignant le besoin continu d'une sécurité robuste dans le paysage DeFi en évolution rapide.
Sources
-
Balancer publie un rapport préliminaire d'analyse post-mortem après un piratage de 116 millions de dollars, TradingView.
-
Balancer révèle la cause de l'exploitation DeFi de 116 millions de dollars dans une analyse post-mortem, FinanceFeeds.
Cet article a été créé avec le soutien d'une technologie alimentée par l'IA, en s'appuyant sur plusieurs sources réputées. Le contenu final a été soigneusement examiné et édité par l'équipe éditoriale de BlockzHub afin de garantir précision, clarté et cohérence. Les sources d'information originales sont créditées lorsque cela est approprié et requis. Les opinions exprimées dans cet article ne reflètent pas nécessairement les points de vue ou les positions officielles de BlockzHub. Cet article est uniquement destiné à des fins informatives et ne doit pas être considéré comme un conseil financier ou professionnel. Investir comporte des risques, et il est recommandé de consulter un conseiller financier qualifié avant de prendre toute décision d’investissement.
Balancer détaille le piratage de 116 millions de dollars dans un rapport post-mortem, cite une faille d'arrondi