Μια κρίσιμη ευπάθεια στο πρωτόκολλο αποκεντρωμένου ανταλλακτήριου Balancer επέτρεψε σε επιτιθέμενους να αποσπάσουν περισσότερα από 120 εκατομμύρια δολάρια αξιοποιώντας ένα σφάλμα στρογγυλοποίησης στον μηχανισμό ομαδικών ανταλλαγών. Ανάλυση δείχνει ότι η ελαττωματική λογική στη συνάρτηση ανταλλαγής EXACT_OUT προχώρησε σε ακατάλληλη υπερκλιμάκωση και υποκλιμάκωση ποσοτήτων token σε πολλαπλά βήματα, δημιουργώντας μίνι ανισορροπίες υπολοίπων που συσσωρεύονταν με επαναλαμβανόμενες συναλλαγές. Αυτές οι αποκλίσεις, παρόμοιες με το ξύσιμο κλασματικών μερών ενός σεντ, εξαντλήθηκαν συστηματικά από τον χάκερ μέχρι να ενεργοποιηθούν τα μέτρα προστασίας από έλλειψη ρευστότητας.
Η εκμετάλλευση στοχοποίησε δεξαμενές που περιείχαν token με διαφορετικές δεκαδικές ακρίβειες, ένα σενάριο που πέρασε απαρατήρητο παρά τις πολλές αξιολογήσεις ασφαλείας. Κατά τη διάρκεια των ομαδικών συναλλαγών, ο κώδικας του Balancer μετέτρεπε τα ποσά εισόδου σε αναπαράσταση 18 δεκαδικών πριν εκτελέσει τους υπολογισμούς τιμής, και στη συνέχεια επανέφερε τα αποτελέσματα στους εγγενείς δεκαδικούς του token. Σε ορισμένες περιπτώσεις, το τελικό βήμα της κατώτερης κλιμάκωσης γύριζε τις τιμές προς τα πάνω, δίνοντας πλεονάζοντα περιουσιακά στοιχεία στον εκκινητή της ανταλλαγής. Με την οργάνωση υψηλής συχνότητας μικρο‑συναλλαγών, ο επιτιθέμενος δημιούργησε συσσωρευμένα κέρδη που παρέβησαν τα όρια προώθησης της μεταβολής της τιμής στην αλυσίδα.
Το περιστατικό έχει ανάψει εκ νέου τη συζήτηση περί κεντρικοποίησης των ελέγχων ασφάλειας, με κριτικούς να υποστηρίζουν ότι οι λειτουργίες πάγωμα (freeze) και τα hard forks αντίκεινται στο ήθος «code is law». Οι υπέρμαχοι απαντούν ότι τα προσαρμοστικά εργαλεία διακυβέρνησης είναι αναγκαία για να προστατεύσουν τους χρήστες σε περιβάλλοντα υψηλού κινδύνου. Η ευπάθεια του Balancer τονίζει τη σημασία αυστηρών ελέγχων χειρισμού δεκαδικών και φανερώνει εξελισσόμενους τρόπους επίθεσης που αξιοποιούν μαθηματικά ακραίες περιπτώσεις. Οι προγραμματιστές πρωτοκόλλου επανεξετάζουν τα πλαίσια ελέγχου και ενσωματώνουν αυτοματοποιημένες δοκιμές fuzz για δεκαδικές πράξεις, προκειμένου να αποτρέψουν παρόμοιες εκμεταλλεύσεις σε μελλοντικές εκδόσεις.
Σχόλια (0)