Wprowadzenie do problemu / definicja luki
3 listopada 2025 r. protokół DeFi Balancer padł ofiarą skoordynowanego ataku na pulach Composable Stable w wersji V2. Atakujący wykorzystali błąd zaokrągleń w funkcji przeskalowania (tzw. upscale) dla transakcji EXACT_OUT oraz mechanikę batch swap (z rozliczeniami odroczonymi), by zmanipulować wyceny i wypłacić środki o łącznej wartości szacowanej początkowo na ok. 128 mln USD. Zespół Balancera uruchomił tryb odzyskiwania i podał, iż część środków zaczęto już odzyskiwać we współpracy z partnerami i „białymi kapeluszami”.
W skrócie
- Wejście wektor ataku: niespójności zaokrągleń w matematyce puli (upscale vs. downscale) połączone z batch swapami i traktowaniem tokenów BPT jak zwykłych aktywów.
- Skala szkód: wstępnie ~128 mln USD na wielu łańcuchach; szybka reakcja społeczności i partnerów zmniejszyła część strat; proces odzyskiwania trwa.
- Zakres wpływu: pule Composable Stable v5 poza oknem pauzy; inne typy pul (w tym V3) nie zostały dotknięte.
- Root cause (wg Balancera): kierunek zaokrągleń w funkcji upscale dla EXACT_OUT naruszał oczekiwane własności invariantów puli.
Kontekst / historia / powiązania
Balancer to jeden z najdłużej działających protokołów AMM w ekosystemie DeFi. Usterki w warstwie „dokładności arytmetycznej” smart-kontraktów wielokrotnie bywały zapalnikiem strat (np. incydenty z błędami precyzji, manipulacją invariantów czy sandwichingiem). Atak z 3 listopada był wielochainowy (Ethereum, Base, Avalanche, Gnosis, Berachain, Polygon, Arbitrum, Optimism) i dotknął również forki Balancera. Części pul nie można było zatrzymać, bo działają „od lat” i były poza oknem pauzy.
Analiza techniczna / szczegóły luki
Badania niezależnych zespołów (BlockSec, Check Point Research) wskazują na kombinację trzech czynników:
- Niespójne zaokrąglanie – upscaling używał jednostronnego zaokrąglania w dół, podczas gdy downscaling mógł stosować inne zasady. Różnica ta, skumulowana w złożonych ścieżkach swapów, dawała mierzalną przewagę atakującemu.
- Batch swap + EXACT_OUT – wykorzystanie deferred settlement i „pożyczek w locie” (flash-like) w ramach jednej transakcji pozwalało zaniżać efektywną cenę BPT oraz innych aktywów, po czym realizować zysk.
- BPT jako zwykły token – traktowanie tokenów udziałowych (BPT) jak regularnych tokenów umożliwiło obchodzenie minimalnej podaży puli i sprowadzanie płynności do bardzo niskich poziomów, co zwiększało czułość na błąd.
Check Point podkreśla, iż atak trwał <30 minut, obejmując równoległe ścieżki na sześciu łańcuchach, a łączna wartość wyprowadzonych aktywów sięgnęła ~128,64 mln USD.
Praktyczne konsekwencje / ryzyko
- Ryzyko systemowe dla forków i integracji: forki Balancera oraz projekty budowane na Composable Stable Pools dziedziczą te same wektory ryzyka aż do aktualizacji kontraktów.
- Ryzyko dla LP i traderów: w okresie po incydencie zagrożone są pule pozostające poza oknem pauzy; dalsze interakcje (zwł. z EXACT_OUT/batch swap) mogą zwiększać straty użytkowników.
- Ryzyko reputacyjne / zgodności: duże wahania TVL i wstrzymania na łańcuchach (np. reakcje na Berachain) mogą wpływać na płynność, wyceny i zaufanie do protokołów AMM.
Rekomendacje operacyjne / co zrobić teraz
Dla użytkowników (LP, traderzy):
- Unikaj interakcji z dotkniętymi pulami Composable Stable v5 do czasu oficjalnych zaleceń i migracji; wypłać płynność, jeżeli to możliwe.
- Sprawdź i ogranicz allowances dla kontraktów Balancer V2 oraz forków; rozważ użycie narzędzi do szybkiej revokacji uprawnień.
- Monitoruj ogłoszenia Balancera (X, repozytoria, blog) i adresy atakującego, jeżeli śledzisz przepływy środków.
Dla zespołów/projektów (operatorzy pul, integratorzy, audytorzy):
- Zunifikuj semantykę zaokrągleń w całym łańcuchu obliczeń invariantów; preferuj biblioteki arytmetyki stałoprzecinkowej z dowodami własności. Wprowadź testy różnicowe (differential testing) i property-based tests pod kątem błędów precyzji.
- Dodaj circuit breakery i „okna pauzy” o zasięgu obejmującym wszystkie krytyczne pule; rozważ automatyczne rate limiters i kill-switche dla batch swapów.
- Ogranicz możliwość traktowania BPT jak zwykłych tokenów w kontekstach zagrażających minimalnej podaży puli; enforce’uj twarde progi płynności.
- Zaplanuj migracje kontraktów i odpowiednie ścieżki odzyskiwania środków / redystrybucji w oparciu o transparentne transakcje on-chain i współpracę z giełdami (tzw. cex freeze).
Różnice / porównania z innymi przypadkami (jeśli dotyczy)
W odróżnieniu od typowych ataków na mosty (bridge) czy błędów uprawnień, tu rdzeń problemu leżał w mikro-niespójności matematycznej i jej akumulacji w złożonych ścieżkach swapów. To bardziej przypomina wcześniejsze incydenty z precyzją/invariantami w AMM-ach niż klasyczne oracle manipulation. Analizy BlockSec i Check Point podkreślają, iż same „bezpieczne” biblioteki matematyczne nie wystarczą, jeżeli kontrakt nie zapewnia spójności zaokrągleń w całej ścieżce obliczeń.
Podsumowanie / najważniejsze wnioski
- Atak na Balancera obnażył, jak pozornie „mały” błąd zaokrągleń może w praktyce przełożyć się na dziesiątki milionów USD strat w minutach.
- Odzyskiwanie środków trwa, a wstępne działania ograniczyły część szkód; finalne wartości strat i szczegóły dystrybucji Balancer zapowie w pełnym raporcie.
- Dla branży DeFi to case study: konsekwentna semantyka zaokrągleń, testy adekwatności invariantów, mocniejsze „bezpieczniki” operacyjne i szybkie procedury IR są niezbędne w projektach wielochainowych.
Źródła / bibliografia
- SecurityWeek — „DeFi Protocol Balancer Starts Recovering Funds Stolen in $128 Million Heist”, 6 listopada 2025. (SecurityWeek)
- Balancer (oficjalne X) — „Preliminary Incident Report” (root cause: rounding w upscale dla EXACT_OUT). (X (formerly Twitter))
- BlockSec — „In-Depth Analysis: The Balancer V2 Exploit”, analiza techniczna niespójności zaokrągleń. (Blocksec Team)
- Check Point Research — „How an Attacker Drained $128M from Balancer”, metryki ataku i wielochainowy przebieg. (Check Point Research)
- The Block — „Balancer identifies rounding error as root cause of multi-chain DeFi exploit”, kontekst branżowy i uzupełniające szczegóły. (The Block)
