Balancer協(xié)議宣布其V2流動(dòng)性池成為黑客攻擊目標(biāo)，據(jù)報(bào)道此次攻擊造成的損失估計(jì)超過(guò)1.28億美元。

Balancer是基于以太坊區(qū)塊鏈構(gòu)建的去中心化金融（DeFi）協(xié)議，兼具自動(dòng)做市商與流動(dòng)性基礎(chǔ)設(shè)施層功能。該協(xié)議提供支持自定義代幣組合的靈活流動(dòng)性池，用戶可存入資產(chǎn)賺取手續(xù)費(fèi)，交易者則能進(jìn)行資產(chǎn)互換。協(xié)議由BAL代幣治理，事發(fā)前該代幣的市值為6500萬(wàn)美元。

Balancer尚未披露事件過(guò)多細(xì)節(jié)，但已警示用戶警惕潛在詐騙或釣魚攻擊。該協(xié)議已確認(rèn)，V2可組合穩(wěn)定池遭遇漏洞利用攻擊，且該問(wèn)題未影響包括V3在內(nèi)的其他任何Balancer流動(dòng)性池。

攻擊原因爭(zhēng)議

關(guān)于攻擊的具體成因目前尚無(wú)統(tǒng)一結(jié)論。據(jù)GoPlus Security分析，Balancer V2的漏洞利用源于金庫(kù)（Vault）swap交易計(jì)算過(guò)程中的精確舍入誤差。每次互換操作都會(huì)對(duì)代幣數(shù)量向下取整，產(chǎn)生微小偏差，而攻擊者可反復(fù)利用這一偏差。通過(guò)批量互換功能串聯(lián)多次交易，這些舍入損失會(huì)累積形成巨大的價(jià)格扭曲，最終被攻擊者利用。

使用縮放因子對(duì)代幣數(shù)量進(jìn)行標(biāo)準(zhǔn)化

另有部分自稱了解內(nèi)情的用戶表示，攻擊源于Balancer V2金庫(kù)內(nèi)部的授權(quán)不當(dāng)與回調(diào)處理漏洞。據(jù)透露，攻擊者惡意部署的合約在流動(dòng)性池初始化階段操縱了金庫(kù)調(diào)用，成功繞過(guò)安全防護(hù)措施，實(shí)現(xiàn)了跨關(guān)聯(lián)池的未授權(quán)互換與余額操控。

Balancer承諾將“盡快分享此次攻擊的更多細(xì)節(jié)及完整事后分析報(bào)告”。值得注意的是，自2021年以來(lái)，Balancer V2已歷經(jīng)11次安全審計(jì)，每次審計(jì)的檢查范圍各有不同。

仿冒官方的釣魚企圖

與此同時(shí)，有不法分子試圖借此次事件牟利——冒充Balancer官方聯(lián)系黑客，提出“白帽賞金”方案：若黑客同意將其余贓款退回指定地址，可獲得被盜金額20%的獎(jiǎng)勵(lì)。

該釣魚信息措辭嚴(yán)謹(jǐn)，通過(guò)多重設(shè)計(jì)營(yíng)造可信度，包括明確獎(jiǎng)勵(lì)比例、設(shè)定截止日期及附帶威脅內(nèi)容，全程以談判姿態(tài)逼迫黑客立即配合。

若黑客拒絕該交易，冒充Balancer的詐騙者威脅稱，將動(dòng)用從區(qū)塊鏈取證專家、執(zhí)法機(jī)構(gòu)及監(jiān)管合作伙伴處獲取的所有信息，定位并起訴攻擊者。

此次Balancer攻擊是2025年規(guī)模最大的加密貨幣盜竊事件之一。目前攻擊責(zé)任方尚未確定，但去中心化金融（DeFi）領(lǐng)域機(jī)構(gòu)面臨的最大威脅來(lái)自朝鮮黑客組織。

到今年10月為止，與朝鮮黑客盜竊相關(guān)的加密貨幣金額已超過(guò)20億美元，其中規(guī)模最大的是2月發(fā)生的Bybit交易所攻擊事件，黑客當(dāng)時(shí)竊取了15億美元的加密貨幣。

參考及來(lái)源：https://www.bleepingcomputer.com/news/cryptocurrency/hacker-steals-over-120-million-from-balancer-defi-crypto-protocol/