$12 करोड़ Balancer हैक्स ने क्रॉस-चेन राउंडिंग बग्स के फायदे उठाये

Balancer के विकेन्द्रीकृत एक्सचेंज प्रोटोकॉल में एक महत्वपूर्ण सुरक्षा दोष ने हमलावरों को बैच्ड स्वैप तंत्र में राउंडिंग-त्रुटि का लाभ उठाकर 12 करोड़ डॉलर से अधिक निकालने की अनुमति दी। विश्लेषण से संकेत मिलता है कि EXACT_OUT स्वैप फ़ंक्शन में त्रुटिपूर्ण लॉजिक ने कई चरणों में टोकन राशियों को अनुचित रूप से ऊँचा-नीचा कर दिया, जिससे बार-बार लेनदेन के साथ सूक्ष्म संतुलन असमानताएं बन गईं और धीरे-धीरे संचयित होती रहीं। इन असमानताओं जैसे एक सेंट के अंशों को शेव करने के समान छोटे-छोटे अंतर थे जिन्हें हैकर ने व्यवस्थित रूप से खाली कर दिया जब तक ऐसी स्थितियाँ पर्याप्त तरलता सुरक्षा उपायों के अभाव को ट्रिगर नहीं कर देतीं।

इस दुरुपयोग ने उन पूलों को निशाना बनाया जिनमें भिन्न दशमलव सन्निकटन वाले टोकन थे, जो कई सुरक्षा ऑडिटों के बावजूद पकड़े नहीं गए। बैच किए गए व्यापारों के दौरान, Balancer के कोड ने मूल्य गणनाओं को चलाने से पहले इनपुट राशियाँ को 18-डेसिमल प्रतिनिधित्व में बदला, फिर परिणामों को स्थानीय टोकन दशमलों में वापस कर दिया। कुछ मामलों में अंतिम डाउन-स्केलिंग चरण ने मानों को ऊपर की ओर गोल कर दिया, जिससे स्वैप आरम्भकर्ता को अधिक संपत्ति मिल गई। उच्च-आवृत्ति वाले सूक्ष्म-स्वैप्स की योजना बनाकर, हमलावर ने संचयी लाभ बनाए जो ऑन-चेन स्लिपेज सीमाओं को पार कर गए।

खोज मिलते ही Balancer टीम ने एक प्रारम्भिक रिपोर्ट जारी की और आपातकालीन उपाय लागू करने के लिए ब्लॉकचेन वैलिडेटर्स और नोड ऑपरेटरों के साथ समन्वय किया। Polygon और Sonic पर, शासन-सम्बन्धी संस्थाओं ने प्रभावित पूल अनुबंधों को लॉक करने और बाहर जा रहे हस्तांतरणों को रोकने के लिए फ्रीज़ मॉड्यूल लागू किए। Berachain के हितधारकों ने दुरुपयोग-विंडो को वापस ले जाने और तरलता प्रदाताओं के लिए पुनः प्राप्ति सक्षम करने हेतु एक आपातकालीन हार्ड फोर्क को मंजूरी दी। ये कार्रवाइयाँ DeFi पारिस्थितिकी तंत्रों में अपरिवर्तनीय लेखा-जोखा सिद्धांत और त्वरित संकट प्रतिक्रिया के बीच चल रहे तनाव को उजागर करती हैं।

घटना ने सुरक्षा नियंत्रणों के केंद्रीकरण पर बहस को पुनः जगा दिया है, जिसमें आलोचक यह तर्क देते हैं कि फ्रीज़ फ़ंक्शन और हार्ड फोर्क्स “कोड इज़ लॉ” एथोस के विरुद्ध हैं। समर्थक तर्क करते हैं कि उच्च-जोखिम वातावरण में उपयोगकर्ताओं की सुरक्षा के लिए अनुकूल शासन-उपकरण आवश्यक हैं। Balancer की कमजोरी दशमलव-हैंडलिंग के कड़े चेक्स के महत्व को रेखांकित करती है और गणितीय एज केसों का लाभ उठाने वाले विकसित होते आक्रमण-वेक्तरों को उभारती है। प्रोटोकॉल डेवलपर्स अब ऑडिट फ्रेमवर्क्स की पुनः समीक्षा कर रहे हैं और दशमलव संचालन के लिए स्वचालित फज़ टेस्टिंग को शामिल कर रहे हैं ताकि भविष्य के रिलीज़ में इसी तरह के दुरुपयोग रोकें जा सकें।