DeFi Balancer став мішенню атаки та втратив понад 110 мільйонів доларів США в активах.

• Недолік у смарт-контрактах призвів до виведення коштів із V2 сховищ Balancer.
• Сума викрадених коштів перевищує 110 мільйонів доларів США на декількох блокчейнах.
• Аудитори розслідують атаку, яка використала компостовану архітектуру протоколу.

Balancer зазнав ще однієї серйозної атаки, із загальними втратами від 110 до 116 мільйонів доларів США на різних блокчейнах. Інцидент переважно торкнувся V2 сховищ протоколу та пулів ліквідності, де було використано вразливість у взаємодії смарт-контрактів.

Згідно з аналізом у мережі, опублікованим експертами, включаючи аналітика Adi (@AdiFlips), атака почалася із розгортання шкідливого контракту, який маніпулював внутрішніми викликами Vault під час ініціалізації пулу. Ця маніпуляція дозволила зловмиснику обійти механізми безпеки та здійснити несанкціоновані обміни між взаємопов’язаними пулами, вивівши кошти за лічені хвилини.

Ось усе, що потрібно знати про злам Balancer:

1. Атака була спрямована на V2 сховища та пули ліквідності Balancer, використовуючи вразливість у взаємодії смарт-контрактів. Попередній аналіз від дослідників у мережі вказує на шкідливо розгорнутий контракт, який… pic.twitter.com/udAM4hB0OD

— Adi (@AdiFlips) 3 листопада 2025

Вектор атаки включав недоліки авторизації та некоректну обробку callback, що відкрило лазівки для маніпуляції балансами та каскадних свопів. Ключова транзакція в мережі Ethereum — ідентифікована як 0xd155207261712c35fa3d472ed1e51bfcd816e616dd4f517fa5959836f5b48569 — спрямувала активи на новий гаманець, контрольований зловмисником. Кошти були консолідовані та, ймовірно, переведені через сервіси мікшування або крос-чейн мости, що ускладнює їх відстеження.

Компостована архітектура Balancer, у якій пули інтенсивно взаємодіють між собою, у підсумку посилила вразливість. Подібні атаки вже траплялися з іншими автоматизованими маркет-мейкерами (AMM), особливо коли вони мають справу з дефляційними токенами або механізмами ребалансування пулів.

Аудитори, такі як PeckShield та Nansen, проводять детальні криміналістичні розслідування та підтвердили, що атака була виключно технічною, без ознак компрометації приватних ключів. Втрати включають великі обсяги WETH, wstETH, osETH, frxETH, rsETH та rETH — найбільше постраждав Ethereum, з якого було виведено приблизно 70 мільйонів доларів США.

Вплив також поширився на мережі Base, Sonic та Polygon, що призвело до додаткових збитків на суму близько 9 мільйонів доларів США. Похідні протоколи, такі як Beets.fi та Berachain, також були скомпрометовані через використання схожих компонентів коду.

Токен BAL впав на 5–8% після підтвердження атаки. На даний момент Balancer не оприлюднив подробиць щодо заходів з пом’якшення наслідків чи потенційної компенсації користувачам, а екстрені рекомендації включають негайне виведення коштів, відкликання дозволів та активний моніторинг уражених гаманців.