Hakeri su ispraznili velike količine kriptovalute sa Balancera iskorišćavanjem greške u funkciji zaokruživanja i izvođenjem „batch swap“ transakcija.
Hakeri su u ponedjeljak ukrali više od 120 miliona dolara u kriptovalutama sa decentralizovanog finansijskog (DeFi) protokola Balancer, tako što su iskoristili ranjivost u funkciji zaokruživanja i izveli niz složenih razmjena („batch swaps“).
Napad se dogodio u 7:48 po UTC vremenu (2:48 po istočnoameričkom vremenu) i pogodio je „composable stable pools“ verzije Balancer V2, od kojih su neki aktivni na blockchainu već godinama i nisu mogli biti pauzirani.
„Svi poolovi koji su mogli biti pauzirani su sada pauzirani i u fazi su oporavka. Svi ostali Balancer poolovi nisu pogođeni,“ saopštio je Balancer u ponedjeljak.
U preliminarnom izvještaju objavljenom u srijedu, DeFi protokol je naveo da su pogođeni poolovi na više blockchain mreža — uključujući Ethereum, Base, Avalanche, Gnosis, Berachain, Polygon, Sonic, Arbitrum i Optimism — kako na Balancer V2, tako i na njegovim fork verzijama.
Prema Balanceru, napadači su iskoristili podršku protokola za „batch swap“ funkciju, koja korisnicima omogućava kombinovanje više operacija u jednoj transakciji. Ova funkcija podržava „deferred settlements“, što korisnicima omogućava korišćenje „flashloan“ pozajmica tokom razmjena.
„Konkretno kod composable stable poolova, LP tokeni (BPT) tretiraju se kao obični tokeni, što omogućava zaobilaženje minimalnog limita zaliha u poolu i dovodi do ekstremno niskih nivoa likvidnosti,“ objašnjava Balancer.
Hakeri su iskoristili pogrešan pravac zaokruživanja u funkciji upscale kod „EXACT_OUT“ transakcija, gdje se vrijednosti zaokružuju naniže u određenim okolnostima.
„Napadači su mogli da kombinuju pogrešno ponašanje funkcije zaokruživanja sa ‘batch swap’ funkcionalnošću kako bi manipulisali bilansima poolova i izvukli vrijednost. U mnogim slučajevima, ukradena sredstva su privremeno ostala u ‘Vaultu’ kao interne bilanse prije nego što su povučena kroz kasnije transakcije,“ navodi Balancer.
Suštinski, napadači su manipulisali proračunima cijene BPT tokena, a zatim izveli „batch swap“ kako bi profitirali od vještački snižene cijene, objašnjava bezbjednosna firma BlockSec Phalcon.
DeFi protokol još uvijek istražuje napad i nije objavio konačnu procjenu štete. Preliminarne procjene pokazuju da je ukradeno oko 128 miliona dolara, ali je brza reakcija zajednice smanjila ukupne gubitke za više od 20 miliona.
„Balancer nastavlja da sarađuje sa partnerima, istraživačima, berzama i whitehat timovima na povraćaju sredstava. Detaljan post-mortem izvještaj sa verifikovanim iznosima, referencama transakcija i planovima raspodjele biće objavljen nakon završetka verifikacije,“ saopštio je Balancer.
Napad je prvenstveno pogodio „Composable Stable v5“ poolove koji nisu mogli biti pauzirani, a Balancer korisnicima preporučuje da izbjegavaju interakciju sa njima, naglašavajući da je prioritet ublažavanje posljedica i oporavak sredstava.
Izvor: SecurityWeek