Balancer identifica un error de redondeo como la causa principal del exploit DeFi en múltiples cadenas
Quick Take Balancer publicó su informe preliminar sobre el exploit del 3 de noviembre que drenó millones en activos de los Composable Stable Pools en varias redes. El protocolo señaló un error de redondeo en su lógica de intercambio, el cual fue explotado por los atacantes para manipular los balances de los pools y extraer valor.
El protocolo DeFi Balancer ha publicado su informe preliminar sobre el incidente ocurrido el 3 de noviembre, en el que se drenaron decenas de millones de sus Composable Stable Pools (CSPs) a través de múltiples redes, incluyendo Ethereum, Base, Avalanche, Arbitrum, Optimism, Gnosis, Polygon, Berachain y Sonic.
Como informó anteriormente The Block, el market maker automatizado (AMM) descentralizado y plataforma de liquidez sufrió grandes salidas de fondos de su bóveda. Las estimaciones iniciales de la pérdida aumentaron rápidamente de alrededor de 70 millones de dólares a más de 128 millones en cuestión de horas, según reportaron proveedores de análisis de blockchain como Nansen y Peckshield.
Según Balancer, su socio de seguridad Hypernative detectó la actividad sospechosa a primera hora del lunes. Luego, se contactó a varios colaboradores y whitehats, como SEAL 911, BitFinding y StakeWise, para ayudar a contener la fuga.
Causa raíz: error de redondeo en la lógica de swap
En su informe preliminar, Balancer atribuyó el exploit a un error de redondeo en la función upscale para swaps EXACT_OUT dentro de la función batchSwap de la bóveda v2. Esta función permite a los usuarios combinar múltiples operaciones de swap en una sola transacción para ahorrar gas.
Los atacantes explotaron la forma en que se implementó la liquidación diferida en los pools composables, lo que permitió que la liquidez cayera por debajo de los umbrales mínimos, explicó el equipo. Específicamente, el bug ocurrió cuando factores de escala no enteros provocaron que el sistema redondeara hacia abajo durante ciertos cálculos, creando pequeñas discrepancias que el atacante aprovechó para manipular los balances y drenar valor.
En muchos casos, los fondos fueron primero redirigidos a los balances internos de la bóveda de Balancer antes de ser retirados mediante transacciones posteriores. El bug afectó principalmente a los pools Composable Stable v5 con ventanas de pausa expiradas, mientras que la automatización de emergencia de Hypernative pausó automáticamente los pools v6.
“El incidente se limitó a los Composable Stable Pools en Balancer v2 y sus forks en otras cadenas como BEX y Beets”, escribió Balancer. “Balancer v3 y todos los demás tipos de pools permanecen sin verse afectados.”
Mientras tanto, los pools CSPv6 fueron automáticamente puestos en modo de recuperación bajo controles de emergencia.
Impacto multichain y recuperación
Balancer indicó que el ataque abarcó varias redes y forks, incluyendo BEX en Berachain, Beets en Sonic y despliegues basados en Gnosis. Sin embargo, los socios del ecosistema iniciaron acciones de emergencia para contener las consecuencias. StakeWise DAO recuperó aproximadamente 19 millones en osETH y 1.7 millones en osGNO, cerca del 73.5% del osETH robado. Los validadores de Berachain detuvieron la red para realizar un hard fork de emergencia que abordó la exposición de BEX v2, el cual se completó el 4 de noviembre.
Además, Sonic Labs congeló las direcciones sospechosas de los atacantes, restringiendo los movimientos de fondos vinculados a su fork de Balancer. Gnosis restringió temporalmente la actividad de los puentes para evitar la propagación entre cadenas, mientras que Monerium congeló 1.3 millones de EURe en la bóveda afectada.
Adicionalmente, BitFinding y los bots Base MEV recuperaron sumas menores —aproximadamente 750,000 dólares en total— y las devolvieron a la DAO de Balancer. El equipo agregó que una parte de los activos afectados ha sido recuperada o congelada y que se publicará un informe final verificado una vez que todos los socios completen la conciliación on-chain.
Balancer afirma que cualquier cifra de pérdida circulante no está confirmada hasta que se concluya la verificación independiente.
Mitigaciones y próximos pasos
Como parte de su respuesta, Balancer ha deshabilitado la fábrica CSPv6 para evitar la creación de nuevos pools vulnerables y ha detenido los gauges de liquidez para los pools afectados para frenar más emisiones.
Además, el equipo ha habilitado las salidas de los pools pausados para permitir retiros seguros.
El marco legal Safe Harbor del protocolo (BIP-726), adoptado el año pasado, permitió que los equipos whitehat intervinieran de inmediato sin riesgo legal, una estructura que según Balancer “mejoró materialmente la velocidad y coordinación de la respuesta.”
Se espera un informe final, incluyendo las cifras confirmadas de pérdidas y recuperación, “una vez que todas las validaciones de los socios estén completas”, según la última actualización de Balancer.
Descargo de responsabilidad: El contenido de este artículo refleja únicamente la opinión del autor y no representa en modo alguno a la plataforma. Este artículo no se pretende servir de referencia para tomar decisiones de inversión.
También te puede gustar
La aparente prosperidad del mercado de valores estadounidense no puede ocultar la debilidad interna: el S&P 500 está a menos del 2% de su máximo histórico, pero las acciones de pequeña capitalización, los bancos y el sector de servicios públicos sufren fuertes caídas.
A medida que el rendimiento del bono del Tesoro estadounidense a 10 años alcanzó temporalmente el 5,34%, el nivel más alto desde 2002, en Wall Street se discute intensamente cuándo la ola de ventas en el mercado de bonos impactará realmente en el aparentemente sólido mercado de acciones de Estados Unidos.
Las expectativas de aumento de tasas de la Reserva Federal en octubre se enfrían; funcionarios sugieren que no hay necesidad de actuar con prisa. El auge de inversiones en IA podría convertirse en el principal riesgo de inflación el próximo año.
Varios altos funcionarios de la Reserva Federal han enviado señales esta semana, insinuando que a pesar de que la inflación en Estados Unidos sigue siendo elevada y puede ser necesario aumentar las tasas de interés en el futuro, la Reserva Federal no tiene prisa por tomar medidas en octubre.
Según se informa, Anthropic podría lanzar su IPO a mediados de noviembre, con una valoración de hasta 2 billones de dólares, y planea cotizar en el mercado de valores estadounidense antes de Acción de Gracias.
Según personas familiarizadas con el tema, la empresa de inteligencia artificial Anthropic está buscando lanzar su oferta pública inicial tan pronto como a mediados de noviembre y aspira a debutar oficialmente en el mercado de valores estadounidense antes del feriado de Acción de Gracias, el 26 de noviembre.
Anthropic avanza hacia su salida a bolsa: se informa que busca un IPO con una valuación de 2 billones antes del Día de Acción de Gracias, y organiza un día del inversor el 14 de octubre.
Según informes, Anthropic podría iniciar su roadshow tan pronto como en noviembre, buscando completar la salida a bolsa antes del feriado de Acción de Gracias en Estados Unidos el 26 de noviembre. El 14 de octubre realizará un Día del Inversor Pre-IPO con potenciales inversores, a quienes ya ha enviado invitaciones a varias instituciones. Algunos de esos potenciales inversores estiman que una valuación razonable de la compañía podría alcanzar entre 1,8 y 2 billones de dólares.
Precios de las criptos
Más
