Vụ hack 120 triệu USD của Balancer phơi bày lỗi độ chính xác của Stable Pool

Vụ tấn công vào Balancer ngày 3 tháng 11 cho thấy một kẻ tấn công đã lợi dụng lỗi mất độ chính xác trong Balancer v2 Composable Stable Pools. Sử dụng các khoản vay flash và hoán đổi theo lô, kẻ tấn công đã thao túng logic làm tròn khi thanh khoản thấp để rút khoảng 120 triệu USD trên nhiều chuỗi. Lỗ hổng bắt nguồn từ việc cắt bỏ số nguyên điểm cố định trong các lần hoán đổi theo lô. Kẻ tấn công hoán đổi Balancer Pool Tokens (BPT) lấy token thanh khoản, sau đó thực hiện các giao dịch nhỏ osETH↔WETH để khuếch đại lỗi làm tròn. Lặp lại chu kỳ này cho phép cân bằng nội bộ bị phình to và rút số lượng lớn từ Vault. SlowMist đã theo dõi quỹ bị đánh cắp qua Tornado Cash đến nhiều địa chỉ trên chuỗi. Để đối phó với vụ tấn công, nhóm Balancer đã tạm dừng các pool dễ bị tổn thương, chặn tạo pool mới và triển khai các biện pháp khẩn cấp. Các can thiệp whitehat và hợp tác với Monerium, Sonic Labs và Hypernative đã thu hồi khoảng 73,5% osETH bị đánh cắp. Sự việc nhấn mạnh những rủi ro bảo mật quan trọng trong xử lý độ chính xác của các stable pool trong DeFi. Balancer đã khởi động các đợt kiểm toán và cải tiến logic liên tục để bảo vệ các pool thanh khoản trong tương lai. Các nhà giao dịch tiền điện tử nên theo dõi các cập nhật bảo mật và thông số pool sắp tới ảnh hưởng đến các stable pool.