Мир DeFi вновь оказался в эпицентре бури.

3 ноября несколько проектов, основанных на архитектуре Balancer V2, подверглись тщательно спланированной атаке, в результате которой убытки превысили 120 миллионов долларов. Этот инцидент затронул не только основную сеть Ethereum, но и распространился на другие блокчейны, такие как Arbitrum, Sonic и Berachain, став очередным инцидентом в сфере безопасности после инцидентов Euler Finance и Curve Finance.

Предварительный анализ BlockSec показывает, что это «очень сложная атака, направленная на манипулирование ценами». Суть атаки заключается в манипуляции злоумышленником логикой расчёта цены BPT (токена балансировочного пула). Используя ошибки округления в инвариантах, злоумышленник искажает цены и многократно получает прибыль от одной серии обменов.

Если взять в качестве примера атакующую транзакцию на Arbitrum, то атака состоит из трех этапов:

Короче говоря, это был точечный удар, построенный на границах математики и кода.

Компания Balancer официально подтвердила, что её компонуемые стабильные пулы V2 подверглись уязвимости. В настоящее время команда сотрудничает с ведущими специалистами по безопасности в расследовании инцидента и пообещала как можно скорее предоставить полный отчёт по результатам анализа инцидента. Все затронутые пулы, которые можно было приостановить, были немедленно заморожены и переведены в режим восстановления. Эта уязвимость затрагивает только компонуемые стабильные пулы V2 и не затрагивает Balancer V3 или другие типы пулов.

После инцидента с уязвимостью Balancer V2 проекты, ответвившиеся от Balancer, столкнулись со значительной волатильностью. Согласно данным DeFiLlama, по состоянию на 4 ноября общая заблокированная стоимость (TVL) связанных проектов составляла всего около 49,34 млн долларов США, что на 22,88% меньше за один день. Среди них, у BEX, собственной децентрализованной биржи Berachain, TVL снизился на 26,4% до 40,27 млн ​​долларов США, что по-прежнему составляет 81,6% от всей экосистемы. Однако из-за ончейн-сбоев и заморозки ликвидности отток капитала продолжился. Ещё более серьёзные последствия наблюдались у Beets DEX: её 24-часовой TVL резко упал на 75,85%, а кумулятивное падение составило почти 79% за последние семь дней.

Помимо вышеупомянутых соглашений, панические продажи также наблюдались и на других децентрализованных биржах (DEX), основанных на архитектуре Balancer. PHUX упал на 26,8% за один день, Jellyverse — на 15,5%, а Gaming DEX — на 89,3%, при этом ликвидность практически полностью исчезла. Даже на более мелких проектах, не затронутых напрямую, таких как KLEX Finance, Value Liquid и Sobal, отток средств составил в среднем 5–20%.

Началась цепная реакция, и Берахайн срочно провел хард-форк.

Эта уязвимость, возникшая в Balancer V2, быстро спровоцировала более масштабную цепную реакцию.

Berachain, новый публичный блокчейн, созданный на основе Cosmos SDK, также был взломан в течение нескольких часов, поскольку BEX также использует архитектуру контрактов Balancer V2. После обнаружения аномалии фонд быстро объявил о «полном закрытии блокчейна».

Сообщалось о взломе пулов ликвидности, таких как USDe Tripool на BEX, что затронуло около 12 миллионов долларов. Злоумышленники воспользовались той же логической уязвимостью, что и Balancer, похитив средства через множественные взаимодействия со смарт-контрактами. Поскольку некоторые активы представляли собой ненативную криптовалюту, команде пришлось использовать хардфорк для отката определенных блоков, чтобы завершить восстановление и отслеживание.

Между тем, несколько протоколов в экосистеме Berachain, включая Ethena, Relay и HONEY, также внедрили защитные меры:

Фонд Berachain заявил, что приостановка сети Berachain была запланирована и что сеть вскоре возобновит нормальную работу. Уязвимость Balancer затронула в первую очередь пулы Ethena, Honey и Ethena, поскольку была вызвана относительно сложными транзакциями смарт-контрактов. Поскольку уязвимость затронула ненативные активы (не только BERA), процесс отката/наклона изменений не является просто хардфорком; следовательно, сеть будет приостановлена ​​для завершения комплексного решения до тех пор, пока не будет найдено окончательное решение.

4 ноября фонд Berachain Foundation объявил о распространении бинарного файла хардфорка и обновлении некоторых узлов-валидаторов. Перед возобновлением работы и генерацией блоков фонд хочет убедиться, что основные инфраструктурные партнёры, необходимые для работы в сети (например, оракулы ликвидации), обновили свои RPC, поскольку именно они станут основными препятствиями для восстановления работы сети. После завершения RPC-запросов на основные сервисы команда будет координировать работу с кроссчейн-мостами, партнёрами CEX, кастодианами и другими организациями для восстановления сервисов.

Тем временем оператор бота MEV от Berachain связался с фондом после приостановки работы блокчейна, представившись «белым хакером» для вывода средств и отправив сообщение в блокчейн. Он выразил готовность предварительно подписать ряд транзакций, чтобы средства можно было вернуть после запуска блокчейна.

Безопасность прежде всего или децентрализация?

«Мы знаем, что это спорно, но когда под угрозой находятся пользовательские активы на сумму около 12 миллионов долларов, защита пользователей — единственный выход», — сказал Смоки Бера, соучредитель Berachain, в ответ на вопросы сообщества о «централизации».

В своём заявлении он признал, что Berachain пока не достиг децентрализации уровня Ethereum, а механизм координации между валидаторами больше похож на «центр управления кризисом», чем на автоматизированную сеть консенсуса. Тот факт, что узлы сети одновременно отключаются в течение часа после возникновения уязвимости, демонстрирует эффективность централизованного принятия решений, но также раскрывает степень централизации на уровне управления.

Реакция общества сразу же разделилась.

Сторонники утверждают, что этот шаг отражает чувство ответственности команды за безопасность пользователей и является «реалистичным подходом к децентрализации»; противники, с другой стороны, обвиняют его в нарушении принципа «Кодекс есть закон» и в вопиющем предательстве принципа необратимости в рамках сети.

В своем комментарии блокчейн-детектив ZachXBT заявил: «Это было трудное, но правильное решение, учитывая, что на кону были средства пользователей».

Однако некоторые радикально настроенные разработчики прямо заявили: «Если блокчейн можно остановить в любой момент, то в чем разница между ним и традиционной финансовой системой?»

Вновь появляется тень инцидента с DAO.

Этот инцидент напомнил многим отраслевым инсайдерам о взломе Ethereum DAO в 2016 году. Тогда, чтобы вернуть украденные 50 миллионов долларов, Ethereum решил откатить транзакции с помощью хардфорка, что привело к разделению сообщества на Ethereum (ETH) и Ethereum Classic (ETC).

Девять лет спустя аналогичный выбор возник снова.

Этот инцидент напомнил многим отраслевым инсайдерам о взломе Ethereum DAO в 2016 году. Тогда, чтобы вернуть украденные 50 миллионов долларов, Ethereum решил откатить транзакции с помощью хардфорка, что привело к разделению сообщества на Ethereum (ETH) и Ethereum Classic (ETC).

Девять лет спустя аналогичный выбор возник снова.

Разница на этот раз в том, что главный герой — публичный блокчейн, который всё ещё находится на ранней стадии развития. Он недостаточно децентрализован и не обладает масштабом для поддержки глобального консенсуса.

Хотя вмешательство Berachain предотвратило дальнейшие потери, оно в очередной раз подняло философские вопросы о том, может ли блокчейн быть по-настоящему автономным.

В каком-то смысле это также зеркало экосистемы DeFi: безопасность, эффективность и децентрализация — баланс между этими тремя факторами так и не был достигнут.

Когда хакеры могут за считанные секунды уничтожить активы на десятки миллионов долларов, «идеалы» зачастую вынуждены уступать место «реальности».

Balancer заявил, что команда сотрудничает с ведущими исследователями в области безопасности и планирует опубликовать полный отчет по результатам анализа инцидента, а также напомнил пользователям о необходимости остерегаться мошеннических сообщений, отправляемых от имени служб безопасности.

Berachain рассчитывает постепенно восстановить функции производства блоков и транзакций после завершения хардфорка.

Однако восстановить доверие сложнее, чем устранить уязвимости. Для формирующегося публичного блокчейна приостановка работы цепочки — это краткосрочное решение, но может нанести долгосрочный ущерб сообществу. Пользователи будут сомневаться в подлинности его децентрализации, а разработчики будут беспокоиться о том, сохраняется ли гарантия неизменности.

Мир DeFi, возможно, переосмысливает децентрализацию: речь идет не об абсолютном невмешательстве, а о поиске консенсуса с минимальными компромиссами в условиях кризиса.