Эксперты по безопасности из SlowMist рассказали подробности атаки на протокол Balancer

6068

2 мин

10.10.2023

Согласно данным исследователей SlowMist, 22 августа 2023 года разработчики Balancer объявили об обнаружении серьезной уязвимости, затрагивающей несколько пулов V2 Boost. Это касалось 1,4% общего значения заблокированных средств (TVL). Некоторые из них были временно приостановлены, а пользователям предложено вывести свои активы поставщиков ликвидности (LP).

Позднее система MistEye обнаружила подозрительные транзакции, использующие уязвимость Balancer. Приостановка работы пулов оказалась неэффективной и некоторые из них оставались уязвимыми для атак. Исследователи рассказали, что причина крылась в функции BatchSwap. Она обеспечивает атомарные обмены между различными пулами, соединяя выход одного с входом другого (tokenIn и tokenOut) и обменивая USDC на токены BPT.

При этом фактическая передача токенов не происходит. По словам специалистов SlowMist, вместо этого объемы обмена подтверждаются путем записи сумм входящих и исходящих токенов. Таким образом при процессе пакетного обмена были обнаружены 2 уязвимости безопасности.

Первая заключалась в том, что злоумышленники в одностороннем порядке добавляли основные токены, посредством округления их стоимости в меньшую сторону. Тем самым они получили возможность манипулировать курсом обмена внутри соответствующего составного пула.

Вторая проблема: виртуальное предложение рассчитывается путем вычитания баланса пула из токенов BPT. Если функция GiveIn — это токены BPT, то последующая поставка будет вычтена на конкретную сумму. Злоумышленникам нужно использовать BPT в качестве GiveIn и сманипулировать его предложением до 0, а затем выполнить обратный обмен. При этом BPT сработает как функция GiveOut. На этом этапе алгоритм выполнит транзакцию с соотношением почти 1 к 1, что ниже текущего курса линейного пула.

В итоге 1-я уязвимость увеличила обменный курс при конвертации. При этом 2-й баг, во время обратного обмена, снизил его. Воспользовавшись обеими ошибками злоумышленник получил выгоду и вышел из протокола.

Автор

Петр Иванов

Понравилась новость? Поделись мнением!

Комментарии

Оставить комментарий

Комментариев пока нет

Интересное по инвестиции

Объемы торгов на криптобиржах резко сократились в декабре

В декабре 2025 года объем спотовых торгов на централизованных биржах (CEX) упал до $1,13 трлн — минимального уровня с сентября 2024 года, что на 32% меньше, чем в ноябре ($1,66 трлн), и на 49% ниже октября ($2,23 трлн). Торги на децентрализованных биржах (DEX) снизились до $245 млрд, потеряв 20% по сравнению с ноябрем ($306 млрд) и 46% по сравнению с октябрем ($451,2 млрд).

Galaxy Digital прогнозирует рост BTC до $250 000 к концу 2027 и волну ETF в США в 2026 году

Аналитики Galaxy Digital считают, что достижение BTC нового максимума в 2026 году возможно: опционные рынки оценивают шансы на $70 000 или $130 000 к концу июня 2026 года и на $50 000 или $250 000 к концу 2026 года, при этом сохраняются риски падения, пока BTC не закрепится в зоне $100 000–$105 000. В прогнозе также ожидают более 50 спотовых альткоин-ETF и еще 50 крипто-ETF в США, чистый приток в американские спотовые крипто-ETF свыше $50 млрд, рост доли DEX до более 25% и возможные иски к SEC за чрезмерную мягкость.

Aave Labs пообещала делиться доходами протокола с держателями AAVE

Aave Labs взяла на себя обязательство делиться доходами, генерируемыми протоколом, с держателями токенов AAVE — об этом написал основатель Стани Кулечов на форуме управления; скоро будет представлено официальное предложение с конкретными механизмами. Компания пообещала разработать структуру, которая поддержит это видение при полной защите интересов DAO и держателей. По данным HTX, на фоне новости и общего рыночного ралли цена AAVE выросла на 10,69% за 24 часа и торгуется на $165.

Bitfarms продаёт латинoамериканские активы за $30 миллионов и сосредотачивается на ИИ-инфраструктуре в США

Bitfarms Ltd. договорилась о продаже 70-мегаваттного майнингового комплекса Paso Pe в Парагвае фонду Sympatheia Power Fund под управлением Hawksburn Capital за сумму до $30 миллионов, включая $9 миллионов наличными при закрытии (включая невозвратный депозит $1 миллион) и до $21 миллиона по достижении оговоренных показателей в течение 10 месяцев. Руководство заявило, что средства будут перенаправлены, начиная с 2026 года, на развитие североамериканской инфраструктуры для высокопроизводительных вычислений и центров обработки данных для ИИ, завершив сокращение операций в Латинской Америке. После сделки портфель энергетических активов Bitfarms сконцентрируется в Северной Америке и составит 341 мегаватт действующих мощностей, 430 мегаватт строящихся и резерв около 2,1 гигаватта.

Фонды перетекают в крипту после фазовых максимумов золота и серебра

3 января агент "BTC OG Insider Whale" Гарретт Джин в соцсетях написал, что цены на золото и серебро достигли фазового максимума, после чего средства стали перетекать в криптовалютную сферу. Несмотря на давление продаж на фондовом рынке после открытия, криптовалюта сохранила восходящий импульс. Приток средств может продолжиться и ускорить рост, что способно вызвать короткое сжатие без заметного отката.