22 августа Balancer Labs – управляющий портфелем, не связанный с хранением, поставщик ликвидности и датчик цен – получила сообщения о массовой уязвимости, затронувшей несколько ее кредитных пулов.
На тот момент никаких атак не проводилось, но недавно ситуация изменилась.
Сообщество предупреждено
Как только эксплойт был обнаружен, разработчики Balancer опубликовали предупреждение для своих пользователей, отметив, что некоторые пулы уже были отмечены как безопасные и пообещав разобраться в ситуации, как только будет готов патч.
>
Чтобы убедиться в безопасности своих средств, пользователи были перенаправлены на недавно созданный портал, который позволял им проверить, подвергаются ли их активы риску или нет. Однако разработчики рекомендовали пользователям временно выводить свои средства из всех пулов в качестве дополнительной меры безопасности.
К сожалению, это предупреждение не дошло до всех, и почти неделю спустя произошло неизбежное.
Эксплойт подтвержден исследователями CyberSec
Вчера вечером Balancer подтвердил на X, что эксплойт наконец-то произошел, и еще раз призвал своих пользователей вывести свои средства, чтобы предотвратить дальнейшие эксплойты.
«Balancer известно об эксплойте, связанном с указанной ниже уязвимостью. Процедуры смягчения резко снижают риски, но не могут приостановить работу затронутых пулов. Чтобы предотвратить дальнейшие эксплойты, пользователи должны выйти из затронутых LP».
Эксплойт также подтвердил Меир Долев, основатель и технический директор компании CyverAI, занимающейся безопасностью Web3.
Balancer известно об эксплойте, связанном с указанной ниже уязвимостью.
Процедуры смягчения значительно снижают риски, но не могут приостановить затронутые пулы.
Чтобы предотвратить дальнейшие эксплойты, пользователи должны выйти из затронутых LP. https://t.co/PDzX32gqeS https://t.co/b4CSqVFbDg
— Balancer (@Balancer), 27 августа 2023 г.
Атака была осуществлена посредством трех отдельных транзакций DAI, все из которых вели к одному кошельку.
Первая была самой крупной — ее стоимость превышала 600 тысяч долларов. Затем последовали две более мелкие сделки, которые обошлись кредитным пулам в более чем 250 000 и 85 000 долларов США соответственно.
Хакеру удалось украсть значительную сумму незаконных средств, хотя и не так разрушительно, как другие эксплойты, произошедшие ранее в этом году.
Сообщество Balancer, по понятным причинам, было встревожено этой новостью: некоторые пользователи рекомендовали разработчикам найти новую отрасль для работы.
В общей сложности неисправленная уязвимость смарт-контракта обошлась Balancer более чем в 970 тысяч долларов. Обещанный отчет о вскрытии, несомненно, придется переделать, чтобы включить тот факт, что этот эксплойт был обнаружен отдельным злоумышленником – хотя хакер, о котором идет речь, скорее всего, был предупрежден предупреждением, опубликованным на форуме Balancer.
Пост «Балансировщик истощил почти 1 миллион долларов через несколько дней после раскрытия уязвимости» впервые появился на CryptoPotato.
