Penggodaman Protokol Pengimbang: apa yang berlaku?

Balancer, salah satu pembuat pasaran automatik Ethereum yang paling mantap, telah mengalami apa yang kelihatan sebagai eksploitasi terbesarnya.

Lebih daripada $100 juta aset digital telah disalirkan daripada peti besinya dalam serangan canggih yang telah menghantar gelombang kejutan melalui ekosistem kripto.

Berjuta-juta dikeringkan daripada peti besi Balancer

Pada 3 November 2025, firma keselamatan blockchain mula membunyikan penggera selepas data dalam rantaian menunjukkan aliran keluar besar-besaran daripada kontrak peti besi utama Balancer.

Menurut PeckShield, aset bernilai lebih $128 juta — termasuk osETH, WETH, dan wstETH — telah ditarik balik daripada "0xBA1... BF2C8" alamat.

Aset yang dicuri dengan cepat dipindahkan ke dompet luaran, dengan satu dompet utama menyatukan puluhan juta dolar merentasi pelbagai rantaian.

Balancer tidak lama lagi mengesahkan kesedaran tentang "potensi eksploitasi yang memberi kesan kepada kumpulan Balancer V2," dengan menyatakan bahawa pasukan kejuruteraan dan keselamatannya sedang menyiasat dengan segera.

Eksploitasi itu menjejaskan peti besi versi 2 Balancer, yang menyimpan semua token daripada setiap kumpulan Balancer dalam kontrak pusat dan bukannya dalam kontrak kumpulan yang berasingan.

Reka bentuk ini, yang diperkenalkan untuk memudahkan penciptaan dan pengurusan kolam, kini nampaknya telah mencipta satu titik kelemahan yang dieksploitasi oleh penyerang.

Bagaimana eksploitasi berfungsi

Analisis awal oleh firma keselamatan Decurity dan PeckShield menunjukkan kawalan akses yang rosak dalam fungsi manageUserBalance Balancer.

Pepijat itu berasal daripada semakan validateUserBalanceOp, yang salah membandingkan msg.sender dengan op.sender yang dibekalkan pengguna.

Kelemahan logik ini membolehkan penyerang mencetuskan pengeluaran dalaman tanpa kebenaran menggunakan operasi UserBalanceOpKind.WITHDRAW_INTERNAL — dengan berkesan membolehkan mereka mengalirkan dana daripada peti besi teras Balancer tanpa kebenaran.

BlockSec Phalcon kemudiannya memberikan pandangan yang lebih mendalam tentang mekanik di sebalik eksploitasi itu.

Firma itu menyifatkannya sebagai serangan yang sangat canggih yang memanipulasi invarian yang digunakan untuk mengira harga Balancer Pool Token (BPT).

Pada Arbitrum, sebagai contoh, penyerang melaksanakan satu siri pertukaran yang memutarbelitkan pengiraan harga kumpulan dengan mengeksploitasi ralat pembundaran.

Dengan mengempiskan harga BPT, penyerang dapat mendapat keuntungan daripada pertukaran kumpulan dan kemudian memulihkan baki, mengantongi berjuta-juta dalam proses itu.

Kesan penggodaman merebak merentasi rantai dan garpu

Serangan Balancer tidak terhad kepada Ethereum.

Penganalisis memerhatikan aliran keluar yang diselaraskan merentasi beberapa rantaian, termasuk Sonic, Polygon dan Base.

Projek bercabang yang bergantung pada infrastruktur Balancer juga terjejas. Beets Finance, salah satu garpu tersebut, mengesahkan kerugian sekitar $3 juta.

Cyvers Alerts melaporkan bahawa salah satu dompet penyerang telah dibiayai melalui Tornado Cash sebelum eksploitasi bermula.

Alamat itu kemudiannya menerima lebih daripada $84 juta merentasi pelbagai rantaian, menimbulkan kebimbangan serius tentang potensi pengubahan wang haram melalui pengadun terdesentralisasi dan jambatan rentas rantaian.

Di tengah-tengah kekacauan, dompet ikan paus yang telah tidak aktif selama lebih tiga tahun mengeluarkan $6.5 juta daripada Balancer, nampaknya kerana takut keadaan boleh bertambah buruk.

Penggodaman utama ketiga untuk Balancer

Eksploitasi terbaru ini menandakan pelanggaran besar ketiga Balancer sejak 2020.

Yang pertama melibatkan token deflasi dan berharga kira-kira $500,000, manakala yang kedua pada 2023 menyasarkan "kumpulan yang dirangsang", mengakibatkan kerugian hampir $900,000.

Kali ini, skalanya jauh lebih besar — menjadikannya salah satu serangan DeFi yang paling merosakkan pada tahun 2025.

Token BAL asli Balancer bertindak balas dengan mendadak terhadap berita itu, jatuh lebih daripada 10% intraday dan lebih 15% daripada paras tertinggi mingguannya.

Dengan lebih daripada $750 juta dalam jumlah nilai dikunci sebelum serangan itu, kejadian itu menimbulkan kebimbangan baharu tentang risiko sistem kontrak pintar yang kompleks dan kerapuhan infrastruktur DeFi yang saling berkaitan.