פריצות Balancerim בשווי 120 מיליון דולר שנוצלו עקב באג בעיגול בשרשראות שונות

פגיעה קריטית בפרוטוקול ההחלפה המבוזרת Balancer אפשרה לתוקפים להוציא יותר מ-120 מיליון דולר על ידי ניצול טעות בעיגול במנגנון ההחלפה בבאטצ'ים. ניתוח מצביע על כך שהלוגיקה השגויה בפונקציית ההחלפה EXACT_OUT הגבירה והקטינה בצורה לא נכונה את כמויות הטוקנים בשלבים מרובים, מה שיצר אי-איזונים זעירים במאזנים שצברו לאורך עסקאות חוזרות. פערים אלה, בדמיון לגלוח חלקיקי סנט, נפרעו על ידי ההאקר באופן שיטתי עד שהתנאים גרמו למחסור בהגנות נזילות.

הפריצה פגעה בבריכות נזילות המכילות טוקנים בעלי דיוק עשרוני שונה, תרחיש שלא התגלה על אף ביקורות אבטחה מרובות. במהלך עסקאות בבאטצ'ים, הקוד של Balancer המיר את סכומי הקלט לייצוג עשרוני של 18 לפני ביצוע חישובי המחירים, ואז החזיר את התוצאות לעשרוניות הטוקן המקומי. במקרים מסוימים, שלב ההקטנה הסופי עיגל את הערכים כלפי מעלה והעניק נכסים עודפים למבצע ההחלפה. על ידי תיאום מיקרו-החלפות בתדר גבוה, יצר ההאקר רווח מצטבר שחרג ממגבלות הההחלקה בשרשרת.

עם גילוי הפריצה, צוות Balancer פרסם דוח ראשוני ותיאם עם מאמתי הבלוקצ'יין ומפעילי צמתים כדי ליישם אמצעי חירום. בפוליגון ובסוניק, גופי הממשל הנהיגו מודולי הקפאה לנעילת החוזים של הבריכות שנפגעו ולהסדרת העברות היוצאות. בעלי עניין ב-Berachain אישרו Fork חירומי כדי לשחזר את חלון הפריצה ולאפשר פיצוי לספקי הנזילות. התערבויות אלה מדגישות את המתחים המתמשכים בין עקרונות היומן הבלתי ניתנים לשינוי לבין התגובה המהירה למשבר במערכות DeFi.

האירוע הזה הצית שוב דיונים על המרכזיות של בקרות האבטחה, כאשר המבקרים טוענים כי פונקציות הקפאה והפיצולים הקשים סותרים את האתוס"הקוד הוא החוק". התומכים טוענים כי כלים לממשל הסתגלותיים נחוצים כדי להגן על משתמשים בסביבות בסיכון גבוה. פגיעות Balancer מדגישה את חשיבותן של בדיקות עשרוניות קפדניות ומדגישה וקטורי תקיפה מתפתחים המנצלים מקרים קצה מתמטיים. מפתחי הפרוטוקול כעת בוחנים מסגרות ביקורת ומשלבים בדיקות fuzz אוטומטיות עבור פעולות עשרוניות כדי למנוע מתקפות דומות בגרסאות עתידיות.