Balancer publica relatório preliminar pós-mortem após hack de US$ 116 milhões

A equipe por trás do protocolo de finanças descentralizadas (DeFi) Balancer publicou um relatório preliminar pós-mortem na quarta-feira, detalhando a causa do exploit que drenou US$ 116 milhões em mercados DeFi.

O Balancer foi atingido por um sofisticado exploit de código na segunda-feira, que teve como alvo os pools Balancer v2 Stable e Composable Stable v5, enquanto todos os outros tipos de pools permaneceram inalterados, de acordo com o relatório.

O hacker usou uma combinação de BatchSwaps — que permitem agrupar múltiplas ações em uma única transação, incluindo flashloans (empréstimos de curto prazo tomados e quitados dentro da mesma transação) — e um exploit da função de arredondamento upscale que afeta as trocas EXACT_OUT nos Stable Pools.

Fonte: Balancer

A função de arredondamento é projetada para arredondar para baixo quando os preços dos tokens são uma entrada. No entanto, o hacker conseguiu manipular esses valores de arredondamento e, em conjunto com o recurso BatchSwap, drenou fundos dos pools estáveis. A equipe escreveu:

“Em muitos casos, os fundos explorados permaneceram dentro do Vault como saldos internos antes de serem retirados em transações subsequentes.”

O hack serve como lembrete de que hot wallets, pools de liquidez e fundos on-chain expostos à internet são vulneráveis a ameaças cibernéticas em evolução de hackers, levando usuários e desenvolvedores blockchain a adotarem cautela na proteção de seus fundos.

• Auditorias do Balancer sob escrutínio após exploit de mais de US$ 100 milhões

Balancer responde ao hack de US$ 116 milhões com ajuda da indústria cripto

Os hackers eram provavelmente profissionais qualificados que se prepararam por meses antes de executar o ataque, utilizando uma série de depósitos de 0,1 Ether (ETH) via Tornado Cash para financiar a operação e evitar detecção, conforme relatado anteriormente pelo Cointelegraph.

O Balancer trabalhou com parceiros de segurança cibernética e protocolos cripto para recuperar ou congelar parte dos fundos roubados, incluindo 5.041 StakeWise Staked ETH (osETH), avaliados em cerca de US$ 19 milhões, e 13.495 tokens osGNO avaliados em até US$ 2 milhões.

Fonte: BitFinding

A equipe pausou todos os pools afetados e desativou a criação de novos pools “vulneráveis” até que o problema de segurança seja resolvido.

O Balancer ofereceu uma recompensa de white hat de 20% a hackers éticos e ao próprio autor do ataque pelo retorno dos fundos roubados, mas até o momento ninguém havia reivindicado a recompensa.