Злам Balancer продемонстрував слабкі місця DeFi: понад 116 мільйонів доларів було вилучено з різних блокчейн-мереж

Відбувся злам Balancer

Децентралізовані фінанси (DeFi) знову опинилися перед серйозною проблемою. 3 листопада 2025 року досвідчений протокол ліквідності Balancer (BAL) зіткнувся з критичною уразливістю безпеки. Хакери за лічені години викрали понад $116 мільйонів активів. Інцидент викликав негайне занепокоєння серед ончейн-спільноти та увійшов до числа наймасштабніших і найважливіших атак в історії DeFi.

Ончейн-аналітика демонструє, що зловмисник атакував компонент Vault у смарт-контракті Balancer V2, використавши недостатню перевірку авторизації та вразливості, пов’язані з callback, для маніпуляцій з пулами ліквідності й несанкціонованого виведення активів. Причиною порушення стала не компрометація приватного ключа, а фундаментальна логічна помилка у самому смарт-контракті.

Ethereum зазнав значних втрат

(Джерело: lookonchain)

На даний момент моніторинг гаманців Lookonchain підтверджує крадіжку понад $116 мільйонів активів, які розподілені між основними мережами: Ethereum Mainnet, Arbitrum, Base, Sonic, Optimism та Polygon. Основну частину викрадених коштів становлять liquid staking токени (LST), зокрема rETH, frxETH, osETH і rsETH, що свідчить про глибоке розуміння структури cross-chain DeFi-активів.

Вразливість callback у смарт-контракті — першопричина атаки

Фахівці з кібербезпеки встановили, що зловмисник розгорнув шкідливі контракти під час ініціалізації пулу ліквідності, скориставшись слабкою авторизацією Vault та некоректними оновленнями стану для обходу захисту. Це дозволило проводити несанкціоновані обміни або маніпулювати балансами пулів, забезпечуючи швидке переміщення активів.

Аудиторська компанія Kebabsec і низка розробників підтвердили, що першопричиною інциденту стала не помилка авторизації, а зміна стану транзакції до здійснення виведення — це дозволило зловмиснику скористатися вразливістю під час розрахунку активів.

Реакція екосистеми

У розпал атаки кілька протоколів, тісно інтегрованих із Balancer, негайно вжили заходів для захисту:

• Lido швидко вивів незачеплені позиції з Balancer, щоб уникнути поширення ризику.
• Berachain одразу призупинив роботу мережі та оголосив про екстрений hard fork для усунення вразливостей у платформі BEX, пов’язаних з Balancer V2.

Засновник Berachain Smokey The Bera повідомив, що команда співпрацює з низкою централізованих бірж для блокування гаманця атакуючого, а також призупиняє функції bridging, lending і емісію HONEY для захисту капіталу провайдерів ліквідності.

Криптовалютні «кити» терміново виводять кошти

(Джерело: lookonchain)

Один із неактивних гаманців (0x0090) став ключовим під час атаки. За даними Lookonchain, цей whale активізувався після оприлюднення новини про експлойт Balancer, терміново вивівши понад $6,5 мільйона активів. Такий крок демонструє волатильність ринку та підвищену обізнаність інвесторів DeFi щодо ризиків безпеки.

Відстеження хакерів

Ончейн-аналітики встановили, що атакуючий використовує Cow Protocol і кілька DEX-платформ для поступової конвертації викрадених LST-активів у ключові токени, такі як ETH та USDC. Наприклад, 10 osETH були обміняні на 10,55 ETH, що свідчить про застосування технік відмивання та мікшування для ускладнення відстеження.

Станом на момент написання немає ознак можливої компенсації вкрадених коштів. Команди безпеки блокують адреси гаманців і продовжують ончейн-моніторинг для локалізації загрози.

Як інвесторам захистити себе?

Користувачам Balancer і інвесторам DeFi рекомендовано:

• Негайно вивести активи: Заберіть кошти з пулів Balancer V2, щоб уникнути нових втрат.
• Відкликати дозволи: Використовуйте Revoke.cash або DeBank для перевірки й відкликання дозволів, пов’язаних із Balancer.
• Моніторити ризики: Слідкуйте за офіційними повідомленнями та ончейн-моніторингом, щоб убезпечитись від можливих повторних атак.

Висновки

Інцидент із Balancer вкотре демонструє вразливість смарт-контрактів. Децентралізація та самостійне зберігання активів лежать в основі DeFi, але це також означає повну відповідальність для користувачів і розробників. Подальше поєднання інновацій і безпеки стане вирішальним для майбутнього децентралізованих фінансів. Цей випадок може суттєво позначитися на Balancer, але водночас стати поштовхом для посилення безпеки інфраструктури DeFi.