Balancer bị đánh cắp hơn 120 triệu đô la, bạn nên làm gì?

Chainfeeds Dẫn nhập:

Hiện tại tổng số tiền bị đánh cắp là 128.64 triệu đô la Mỹ, cuộc tấn công vẫn đang tiếp diễn.

Nguồn bài viết:

Foresight News

Quan điểm:

Foresight News: Vào chiều ngày 3 tháng 11, giao thức DeFi lâu đời Balancer đã bị tấn công lỗ hổng bảo mật nghiêm trọng. Kẻ tấn công đã thao túng hợp đồng thông minh cốt lõi của giao thức, chỉ trong vài giờ đã chuyển hơn 110 triệu đô la Mỹ tài sản mã hóa từ nhiều pool thanh khoản, trực tiếp chuyển tiền từ kho quỹ của Balancer sang ví kiểm soát. Theo dữ liệu từ DeBank, số tiền bị đánh cắp trên hệ sinh thái Ethereum lên tới 99.85 triệu đô la Mỹ, chuỗi Arbitrum mất 7.95 triệu đô la Mỹ, Base bị đánh cắp 3.94 triệu đô la Mỹ, Sonic khoảng 3.4 triệu đô la Mỹ, chuỗi Optimism là 1.56 triệu đô la Mỹ. Theo kết quả truy vết của SlowMist, tổng số tiền bị đánh cắp tiếp tục tăng lên 128.64 triệu đô la Mỹ, bổ sung thêm 12.86 triệu đô la Mỹ từ hệ sinh thái Berachain. Do ảnh hưởng của sự kiện này, giá BAL giảm xuống gần 0.9 đô la Mỹ, giảm hơn 8% trong 24 giờ. Sau sự kiện, Berachain chính thức tạm dừng chức năng mint HONEY và các chức năng pool, vault của BEX, đồng thời phối hợp với các node xác thực để dừng hoạt động mạng, nhằm cho phép đội ngũ cốt lõi thực hiện hard fork khẩn cấp, sửa chữa lỗ hổng liên quan đến Balancer V2. Ngay sau khi tin tức được công bố, địa chỉ cá voi 0x0090 đã rút vốn khỏi Balancer, cho thấy tâm lý hoảng loạn lan rộng nhanh chóng. Sự kiện này không chỉ phơi bày lỗ hổng cơ bản về kiểm soát truy cập của Balancer V2, mà còn khiến kiến trúc triển khai đa chuỗi trở thành ngòi nổ khuếch đại rủi ro, liên quan đến nhiều mạng như Ethereum, Base, Polygon, Sonic, v.v. Tính đến thời điểm viết bài, cuộc tấn công vẫn đang tiếp diễn, các đội ngũ bảo mật đang cố gắng đóng băng các địa chỉ liên quan. Balancer được thành lập vào năm 2020, do Balancer Labs phát triển, là một trong những giao thức AMM (nhà tạo lập thị trường tự động) cốt lõi của hệ sinh thái DeFi giai đoạn đầu, nổi bật với thiết kế pool thanh khoản đa tài sản tùy chỉnh. Khác với cơ chế so sánh tài sản đơn lẻ như Uniswap, Balancer cho phép người dùng thiết lập nhiều tỷ trọng tài sản, nâng cao hiệu suất sử dụng vốn. Phiên bản V2 ra mắt năm 2021 đã giới thiệu Boosted Pools và hệ thống Vault, nhằm hướng dòng vốn nhàn rỗi trong pool vào các kênh sinh lời, giảm trượt giá và nâng cao hiệu quả. Tuy nhiên, cấu trúc phức tạp này cũng làm tăng rủi ro kiểm soát truy cập và phụ thuộc bên ngoài. Phân tích chỉ ra, nguyên nhân gốc rễ của cuộc tấn công lần này là do kiểm soát truy cập của hợp đồng vault bị vô hiệu hóa. Kẻ tấn công đã sử dụng cơ chế flash loan, giả mạo quyền hạn để rút tài sản từ Boosted Pools, vượt qua kiểm tra ủy quyền và trực tiếp chuyển tiền đến địa chỉ bên ngoài 0xAa760D53541d8390074c61DEFeaba314675b8e3f. Dữ liệu on-chain (hash giao dịch 0xd155207261712c35fa3d472ed1e51bfcd816e616dd4f517fa5959836f5b48569) cho thấy, cuộc tấn công đã hoàn thành nhiều giao dịch chuyển tiền chỉ trong vài phút, liên quan đến các sản phẩm phái sinh ETH chủ đạo như WETH, osETH, wstETH, frxETH, rsETH, rETH, v.v. Cách khai thác lỗ hổng này tương tự với sự kiện Nomad Bridge năm 2022, đều do logic kiểm soát truy cập bị vượt qua. Kiến trúc đa chuỗi của Balancer khiến phạm vi ảnh hưởng rộng hơn, khuếch đại quy mô thiệt hại. Sự kiện lần này không phải là cá biệt, mà là sự bùng phát tập trung của các rủi ro bảo mật tồn tại lâu dài của Balancer. Kể từ khi V2 ra mắt năm 2021, giao thức này dù đã trải qua nhiều vòng kiểm toán, kiểm thử fuzzing và xác minh hình thức, nhưng vẫn thường xuyên lộ ra lỗ hổng. Tháng 6 năm 2021 từng mất 500 nghìn đô la Mỹ do vấn đề hợp đồng thông minh, tháng 8 năm 2023 bị tấn công DNS mất 270 nghìn đô la Mỹ, tháng 10 năm 2025 lại xảy ra sự kiện nhỏ liên quan đến thao túng “rate providers”. Nhiều sự cố cho thấy Balancer có điểm yếu cấu trúc về kiểm soát truy cập và phụ thuộc bên ngoài. Cuộc tấn công lần này khiến người ta phải nhìn nhận lại rủi ro lão hóa của các giao thức DeFi — mã nguồn vận hành nhiều năm và bị fork nhiều lần, trong môi trường đa chuỗi phức tạp càng dễ trở thành mục tiêu của hacker. Hasu, Giám đốc chiến lược của Flashbots kiêm cố vấn Lido, đã đăng bài chỉ ra rằng, “Balancer V2 kể từ khi ra mắt năm 2021 là một trong những hợp đồng thông minh bị fork nhiều nhất. Mỗi khi một giao thức cốt lõi như vậy bị tấn công, quá trình ứng dụng của cả ngành DeFi sẽ bị lùi lại từ 6 đến 12 tháng.” Hiện tại, đội ngũ Balancer đã xác nhận pool V2 tồn tại lỗ hổng, đang phối hợp với các công ty bảo mật điều tra sự việc.