От Balancer до Berachain: когда на блокчейне ставят на паузу

Автор: Чандлер З, Foresight News

Мир DeFi вновь оказался в центре шторма.

Вчера, 3 ноября, несколько проектов на базе архитектуры Balancer V2 стали жертвами тщательно спланированной атаки, суммарный ущерб от которой превысил 120 млн долларов США. Инцидент затронул не только основную сеть Ethereum, но и распространился на множество других сетей, включая Arbitrum, Sonic и Berachain, став очередным крупным инцидентом безопасности, потрясшим всю отрасль после событий с Euler Finance и Curve Finance.

По предварительному анализу BlockSec, это атака «высокой сложности на манипуляцию ценами». Ее суть заключается в том, что злоумышленник искажает логику расчета цены BPT (Balancer Pool Token), использует ошибки округления в инварианте (Invariant) для создания искажения цен и многократно извлекает арбитражную прибыль в ходе одной пакетной транзакции.

На примере транзакции атаки в Arbitrum можно выделить три стадии:

• Атакующий сначала обменивает BPT на базовые активы, точно корректируя баланс cbETH до границы округления (примерно 9 единиц), чтобы подготовить условия для последующей потери точности;

• Затем происходит обмен между двумя другими базовыми активами — wstETH и cbETH — в определенном количестве (=8). Из-за округления вниз при масштабировании рассчитанное значение Δx немного уменьшается, что приводит к занижению Δy. В результате константа стабильного пула D уменьшается, что искусственно занижает теоретическую цену BPT;

• Наконец, атакующий обратно меняет базовые активы на BPT, извлекая арбитражную прибыль из искусственно заниженной цены.

Если говорить кратко, это был точный удар по границам математики и программного кода.

Официальные представители Balancer подтвердили уязвимость, приведшую к атаке на V2 Composable Stable Pools. На данный момент команда сотрудничает с ведущими исследователями безопасности для проведения расследования и обещает как можно скорее опубликовать полный постмортем-отчет. Все приостанавливаемые затронутые пулы были экстренно заморожены и переведены в режим восстановления. Уязвимость затрагивает исключительно V2 Composable Stable Pools и не влияет на Balancer V3 или другие типы пулов.

После взлома Balancer V2 все форкнутые проекты испытали резкие колебания. Согласно данным DeFiLlama, по состоянию на 4 ноября совокупный заблокированный объем (TVL) связанных проектов упал всего до 49,34 млн долларов США, снизившись за день на 22,88%. BEX, нативная DEX сети Berachain, потеряла 26,4% TVL и опустилась до 40,27 млн долларов США, сохраняя 81,6% всей ликвидности экосистемы. Однако из-за остановки сети и заморозки ликвидности отток средств продолжается. Другая пострадавшая платформа, Beets DEX, показала более катастрофические результаты: за 24 часа ее TVL рухнул на 75,85%, а за последние 7 дней совокупное снижение составило почти 79%.

Помимо указанных протоколов, паника повела к оттоку капитала и с других DEX на архитектуре Balancer. За один день PHUX обвалился на 26,8%, Jellyverse потерял 15,5%, а Gaming DEX обрушился на 89,3%, практически полностью лишившись ликвидности. Даже небольшие и средние проекты, напрямую не пострадавшие от атаки, такие как KLEX Finance, Value Liquid и Sobal, зафиксировали отток средств в диапазоне 5%–20%.

Начинают проявляться цепные реакции, Berachain проводит экстренный хардфорк

Уязвимость Balancer V2 вскоре спровоцировала еще более масштабные цепные реакции.

Новая публичная блокчейн-сеть Berachain, построенная на базе Cosmos SDK, также подверглась атаке хакеров в течение нескольких часов, поскольку ее DEX BEX использует ту же контрактную архитектуру Balancer V2. После выявления аномалий фонд мгновенно объявил о «полной остановке сети».

Как известно, под угрозой оказались средства в пулах ликвидности BEX, таких как USDe Tripool, общая сумма которых составила около 12 млн долларов США. Атакующие использовали ту же логическую уязвимость, что и в случае с Balancer, извлекая средства через множественные взаимодействия смарт-контрактов. Поскольку часть активов представляет собой ненативные токены, команде пришлось прибегнуть к хардфорку с откатом некоторых блоков для восстановления средств и их отслеживания.

Параллельно несколько протоколов экосистемы Berachain, включая Ethena, Relay и HONEY, оперативно приняли меры защиты:

• запрещен вывод токенов USDe через кросс-чейн мосты;

• приостановлены депозиты на рынках кредитования;

• остановлено создание и выкуп HONEY;

• подозрительные адреса переданы централизованным биржам для внесения в черный список.

В официальном сообщении фонд Berachain указал, что пауза в работе сети была запланированной, и сеть скоро возобновит нормальную работу. Уязвимость Balancer преимущественно затронула пулы Ethena/Honey (tripool) и была реализована через относительно сложные транзакции смарт-контрактов. Поскольку уязвимость afectила ненавативные активы (не только BERA), процесс отката/прокрутки вперед включает не просто простой хардфорк, поэтому сеть будет приостановлена до определения окончательного решения для его внедрения.

4 ноября фонд Berachain заявил, что бинарные файлы хардфорка уже распространены, и часть валидаторских нод обновилась. Перед повторным запуском сети и началом генерации блоков они хотят убедиться, что ключевые инфраструктурные партнеры (такие как оракулы ликвидации), необходимые для работы сети, обновили свои RPC, так как именно они станут основным препятствием для восстановления работы. После обновления RPC-запросов основных сервисов команда начнет координацию работы с кросс-чейн мостами, CEX-партнерами и хранилищами для восстановления услуг.

Кроме того, оператор роботов MEV из Berachain связался с фондом сразу после приостановки сети, заявив, что изымает средства как «белая шляпа», и оставил сообщение в блокчейне. Он выразил готовность заранее подписать ряд транзакций, чтобы после перезапуска блокчейна вернуть средства на место.

Приоритет безопасности или децентрализация?

«Мы понимаем спорность этой ситуации, но когда под угрозой оказываются примерно 12 млн долларов пользовательских активов, защита пользователей становится единственным выбором», — заявил сооснователь Berachain Смукки Тхе Бера (Smokey The Bera), отвечая на вопросы сообщества о централизации.

В своем заявлении он признал, что Berachain пока не достигла уровня децентрализации, присущего Ethereum, а механизм координации между валидаторами скорее напоминает «кризисный штаб», чем автоматизированную сеть консенсуса. Факт свидетельствует сам за себя: узлы сети синхронно остановились менее чем через час после обнаружения уязвимости. Это продемонстрировало эффективность централизованного принятия решений, одновременно обнажив степень централизации на уровне управления.

Реакция сообщества тут же раскололась.

Сторонники считают, что такой шаг отражает ответственность команды за безопасность пользователей и является «реалистичной децентрализацией». Критики же обвинили проект в нарушении принципа «Code is Law» («код есть закон»), заявив, что это открытый предательство необратимости в блокчейне.

Цепной детектив ZachXBT в своем комментарии отметил: «В условиях критической угрозы пользовательским средствам это тяжелое, но правильное решение».

Однако радикально настроенные разработчики дали откровенный ответ: «Если блокчейн можно в любой момент поставить на паузу руками человека, то чем он тогда отличается от традиционной финансовой системы?»

Тени снова преследуют события с DAO

Этот скандал напомнил многим специалистам в отрасли событие 2016 года с хакерской атакой на DAO Ethereum. Тогда сеть Ethereum решила провести хардфорк с откатом транзакций для возврата украденных 50 млн долларов, что привело к разделению сообщества на Ethereum (ETH) и Ethereum Classic (ETC).

Девять лет спустя выбор оказался аналогичным.

Разница лишь в том, что в этот раз действующее лицо — молодая публичная сеть, которая еще находится на начальной стадии развития, не обладает достаточным уровнем децентрализации и масштабом, опирающимся на глобальный консенсус.

Хотя человеческое вмешательство Berachain позволило предотвратить еще большие убытки, оно вновь подняло философский вопрос о том, «способен ли блокчейн быть по-настоящему автономным».

В каком-то смысле это зеркало для всей экосистемы DeFi: безопасность, эффективность и децентрализация — баланс между этими тремя концепциями никогда не достигался полностью.

Когда хакеры способны уничтожить активы на десятки миллионов долларов за считанные секунды, «идеалы» зачастую вынуждены уступать «реальности».

Представители Balancer заявили, что команда совместно с ведущими специалистами по безопасности работает над публикацией полного анализа после инцидента и призвала пользователей быть осторожными, остерегаясь мошеннических сообщений от лиц, выставляющих себя за сотрудников службы безопасности.

Со своей стороны, представители Berachain ожидают, что после завершения хардфорка функции генерации блоков и торгов будут постепенно восстановлены.

Однако восстановление доверия сложнее, чем устранение уязвимостей. Для молодой публичной сети приостановка работы является мерой временного реагирования, но может оставить долгосрочные шрамы в сообществе. Пользователи будут сомневаться в подлинной децентрализации проекта, а разработчики опасаться, останутся ли гарантии неизменности данных.

Мир DeFi, возможно, переосмысливает понятие децентрализации: это не абсолютная свобода действий, а поиск консенсуса минимальных компромиссов в моменты кризиса.