Купить крипто- Рынки
Фьючерсы- Спот
- Копитрейдинг
- Earn
- Еще
Хак Balancer: украдено более $116 млн, серьезный удар по DeFi
Оригинальное название статьи: "Ветеран DeFi скомпрометирован: уязвимость смарт контракта Balancer V2, украдено более 110 миллионов долларов в активах"
Автор: Wenser, Odaily Planet Daily
Примечание редактора: Сегодня протокол DeFi Balancer стал жертвой хакерской атаки, сумма украденных средств превысила 116 миллионов долларов. Ряд проектов предприняли меры: Lido вывела свою незатронутую позицию в Balancer, а Berachain объявила об остановке сети для проведения экстренного хардфорка, чтобы устранить уязвимость, связанную с Balancer V2 в BEX.
Более того, Hasu, стратегический директор Flashbots и стратегический советник Lido, отметил в своем посте: "Balancer v2 был запущен в 2021 году и с тех пор стал одним из самых тщательно отслеживаемых и часто форкаемых смарт контрактов. Это очень тревожно. Каждый раз, когда взламывают контракт, который работал так долго, это отбрасывает развитие DeFi на 6–12 месяцев назад." Ниже представлен оригинальный контент:
3 ноября стало известно, что у ветерана DeFi-протокола Balancer было украдено активов на сумму более 70 миллионов долларов. Впоследствии эта новость была подтверждена несколькими сторонами, а размер украденных средств продолжал расти. На момент написания статьи сумма активов, украденных у Balancer, увеличилась до более чем 116 миллионов долларов. Odaily Planet Daily кратко проанализирует этот инцидент в данной статье.
Детали взлома Balancer: убытки превышают 116 миллионов долларов, в основном из-за ошибки в смарт контракте пула v2
Согласно ончейн-информации, хакер Balancer на данный момент украл более 116 миллионов долларов в активах, включая WETH, wstETH, osETH, frxETH, rsETH, rETH, распределенных по нескольким сетям, таким как ETH, Base, Sonic и др., где:
· Активы, украденные в сети Ethereum: около 100 миллионов долларов;
· Активы, украденные в сети Arbitrum: почти 8 миллионов долларов;
· Активы, украденные в сети Base: почти 3,95 миллиона долларов;
· Активы, украденные в сети Sonic: более 3,4 миллиона долларов;
· Активы, украденные в сети Optimism: почти 1,57 миллиона долларов;
· Кража активов в сети Polygon: около 230 000 долларов.
Крипто-KOL Adi сообщил, что первоначальные расследования указывают на то, что атака была в основном направлена на хранилище (vault) и пул ликвидности Balancer V2, используя уязвимость во взаимодействиях смарт контрактов. Ончейн-исследователи отметили, что вредоносный контракт манипулировал вызовом Vault во время инициализации пула. Неправильная авторизация и обработка обратных вызовов позволили хакеру обойти защитные меры, что привело к несанкционированным обменам между взаимосвязанными пулами ликвидности или манипулированию балансом, что привело к быстрой краже активов за считанные минуты.
Основываясь на доступной информации, нет никаких доказательств компрометации приватных ключей; это чисто уязвимость смарт контракта.
Аудитор kebabsec и разработчик Citrea @okkothejawa также упомянули: "Ошибка проверки, упомянутая @moo9000, может не быть первопричиной, так как во всех вызовах 'manageUserBalance' ops.sender == msg.sender. Уязвимость безопасности могла возникнуть в транзакции до создания контракта, который извлекает активы, так как это привело к некоторым изменениям состояния в хранилище Balancer."
Официальный ответ Balancer гласил: "Наша команда осведомлена о потенциальной уязвимости, затрагивающей пулы Balancer v2. Наши инженерные группы и команды безопасности активно проводят расследование с высоким приоритетом. Как только у нас появится больше информации, мы немедленно поделимся проверенными обновлениями и дальнейшими шагами."
Berachain, которая сталкивается с потенциальными рисками потери активов, также оперативно отреагировала. После поста фонда Berachain основатель Berachain Smokey The Bera заявил: "Группа узлов Bera проактивно приостановила работу публичной сети, чтобы предотвратить влияние уязвимости Balancer на BEX (в основном на пул USDe).
· Дать указание команде Ethena отключить мост Bera
· Отключить/приостановить депозиты USDe на кредитном рынке
· Приостановить минтинг и обмен токенов HONEY
· Связаться с криптобиржами и обеспечить внесение адресов хакеров в черный список
Наша цель — как можно быстрее вернуть средства и обеспечить безопасность всех поставщиков ликвидности. Команда Berachain немедленно выпустит бинарные файлы для соответствующих валидаторов узлов и поставщиков услуг, как только они будут готовы (поскольку этот пул содержит неродные активы, это включает некоторую реконфигурацию слотов, а не просто изменение баланса токенов Bera)."
Ончейн-информация хакера Balancer: https://intel.arkm.com/explorer/entity/cd756cb8-6a84-4f40-9361-f6c548544430
Взлом Balancer: крипто кит больше всего нервничает
Будучи хорошо зарекомендовавшим себя DeFi-протоколом, пользователи Balancer, несомненно, больше всего пострадали от этого взлома. Для текущих пользователей действия, которые можно предпринять, включают:
· Вывод средств из пулов Balancer v2 для предотвращения дальнейших потерь;
· Отзыв авторизации: используйте Revoke, DeBank или Etherscan, чтобы отозвать разрешения смарт контракта с адреса Balancer, чтобы избежать потенциальных рисков безопасности;
· Будьте бдительны: внимательно следите за следующими шагами хакера Balancer и за тем, окажет ли это каскадное влияние на другие DeFi-протоколы.
Кроме того, спящий крипто кит, который был неактивен в течение 3 лет, привлек внимание в этом взломе.
Согласно мониторингу LookonChain, спящий в течение 3 лет крипто кит с адресом 0x009023dA14A3C9f448B75f33cEb9291c21373bD8 внезапно проснулся после того, как произошла уязвимость платформы Balancer. Кит стремится вывести свои связанные активы на сумму 6,5 миллионов долларов из Balancer. Ончейн-информация: https://intel.arkm.com/explorer/address/0x009023dA14A3C9f448B75f33cEb9291c21373bD8
Последние события: хакер инициирует схему обмена токенов
Согласно мониторингу ончейн-аналитика Yu Jin, хакер взлома Balancer начал попытки обменять множество токенов ликвидного стейкинга (LST) на ETH. Ранее хакер обменял 10 osETH на 10,55 ETH.
Ончейн-данные показывают, что хакер постоянно обменивает украденные активы в нескольких сетях на ETH, USDC и другие активы с помощью Cow Protocol. В настоящее время надежда на восстановление этих украденных активов кажется призрачной.
В будущем Odaily продолжит следить за тем, сможет ли Balancer оперативно выявить уязвимость контракта протокола и быстро вернуть украденные активы или предоставить соответствующее решение.
Вам также может понравиться
Атлетико Мадрид против ФК Барселона: 90 минут, чтобы разрушить мечту или написать историю
Ответный матч Атлетико Мадрид против ФК Барселона в Лиге чемпионов — это вопрос жизни и смерти. Полные составы Атлетико Мадрид и ФК Барселона, статистика, временная шкала — плюс кто сдает нервы, а кто побеждает.
Границы — лишь на небе: Я носил только один наряд, стригся сам и дарил миллиарды незнакомцам — история о Hyperliquid
Учреждения, финансируемые Китаем, отказываются от стейблкоинов в Гонконге
Утренний обзор | На прошлой неделе компания Strategy инвестировала 1 млрд долларов в увеличение своих запасов биткойнов; Aave одобрила заявку на грант в размере 25 млн долларов; платформа Coinone была закрыта и оштрафована за нарушение обязательств по бор
Обнаружил "мем-монету", которая взлетела за считанные дни. Есть ли какие-нибудь советы?
Эра "массового распределения монет" на публичных цепочках подходит к концу
TAO - это Илон Маск, который инвестировал в OpenAI, а Subnet - это Сэм Альтман
После блокады Ормузского пролива, когда закончится война?
Прежде чем начать пользоваться приложением X Chat от Маска, которое называют «западным WeChat», необходимо разобраться в следующих трёх вопросах
Приложение X Chat будет доступно для скачивания в App Store в эту пятницу. СМИ уже осветили список функций приложения, включая самоуничтожающиеся сообщения, защиту от создания скриншотов, групповые чаты на 481 участника, интеграцию с Grok и регистрацию без указания номера телефона, позиционируя его как «западный WeChat». Однако есть три вопроса, которые практически не затрагивались ни в одном из отчетов.
На официальной странице справки X до сих пор висит одно предложение: «Если злонамеренные сотрудники компании или сама компания X приведут к раскрытию зашифрованных переписок в ходе судебных разбирательств, ни отправитель, ни получатель об этом даже не узнают».
Нет. Разница заключается в том, где хранятся ключи.
При сквозном шифровании в Signal ключи никогда не покидают ваше устройство. Ни X, ни суд, ни какая-либо сторонняя организация не владеет вашими ключами. На серверах Signal нет ничего, что позволило бы расшифровать ваши сообщения; даже если бы им была направлена судебная повестка, они могли бы предоставить лишь временные метки регистрации и время последнего подключения, о чем свидетельствуют данные о прошлых судебных повестках.
X Chat использует протокол Juicebox. В данном решении ключ разбивается на три части, каждая из которых хранится на одном из трёх серверов, управляемых компанией X. При восстановлении ключа с помощью PIN-кода система извлекает эти три фрагмента с серверов компании X и объединяет их. Каким бы сложным ни был PIN-код, фактическим хранителем ключа является X, а не пользователь.
Вот в чем заключается техническая суть «фразы со страницы справки»: поскольку ключ хранится на серверах компании X, она имеет возможность реагировать на судебные запросы без ведома пользователя. У Signal нет такой возможности не из-за каких-то правил, а просто потому, что у него нет ключа.
На приведенной ниже иллюстрации сравниваются механизмы безопасности приложений Signal, WhatsApp, Telegram и X Chat по шести критериям. X Chat — единственная из четырёх платформ, где ключ хранится на самой платформе, и единственная, не поддерживающая функцию «Forward Secrecy».
Значение концепции «передовой секретности» заключается в том, что даже если в какой-то момент ключ будет скомпрометирован, предыдущие сообщения не удастся расшифровать, поскольку каждое сообщение имеет свой уникальный ключ. Протокол Double Ratchet в Signal автоматически обновляет ключ после каждого сообщения, чего нет в X Chat.
Проанализировав архитектуру XChat в июне 2025 года, профессор криптологии Университета Джонса Хопкинса Мэтью Грин отметил: «Если рассматривать XChat как систему сквозного шифрования, то эта уязвимость выглядит как настоящий «конец игры»». Позже он добавил: «Я не доверяю этому не больше, чем нынешним незашифрованным личным сообщениям».
С момента публикации отчета TechCrunch в сентябре 2025 года до запуска в апреле 2026 года эта архитектура не претерпела никаких изменений.
В твите от 9 февраля 2026 года Маск пообещал провести тщательные тесты безопасности X Chat перед его запуском на платформе X Chat, а также открыть исходный код.
На момент запуска 17 апреля не было проведено ни одной независимой сторонней проверки, на GitHub отсутствует официальный репозиторий кода, а из информации о конфиденциальности в App Store следует, что X Chat собирает пять и более категорий данных, включая местоположение, контактную информацию и историю поиска, что прямо противоречит маркетинговому заявлению «Без рекламы, без трекеров».
Не постоянный мониторинг, а четкая точка доступа.
Для любого сообщения в X Chat пользователи могут нажать и удерживать кнопку, а затем выбрать «Спросить Grok». При нажатии этой кнопки сообщение отправляется в Grok в виде открытого текста, при этом на этом этапе происходит переход из зашифрованного состояния в незашифрованное.
Эта особенность конструкции не является уязвимостью, а является особенностью. Однако в политике конфиденциальности X Chat не указано, будут ли эти данные в виде открытого текста использоваться для обучения модели Grok и будет ли Grok хранить содержание этих бесед. Нажимая кнопку «Спросить Grok», пользователи добровольно снимают защиту данного сообщения с помощью шифрования.
Есть также структурная проблема: Как быстро эта кнопка превратится из «дополнительной функции» в «привычку по умолчанию»? Чем выше качество ответов Grok, тем чаще пользователи будут полагаться на него, что приведет к увеличению доли сообщений, выходящих за пределы защиты шифрования. Фактическая степень защиты X Chat в долгосрочной перспективе зависит не только от архитектуры протокола Juicebox, но и от того, как часто пользователи нажимают кнопку «Спросить Грока».
В первоначальной версии X Chat поддерживается только iOS, а в отношении версии для Android указано лишь «скоро», без указания конкретных сроков.
На мировом рынке смартфонов доля Android составляет около 73 %, а доля iOS — около 27 % (IDC/Statista, 2025 г.). Из 3,14 миллиарда активных пользователей WhatsApp в месяц 73 % используют Android (по данным Demand Sage). В Индии WhatsApp насчитывает 854 миллиона пользователей, при этом доля пользователей Android превышает 95 %. В Бразилии насчитывается 148 миллионов пользователей, из которых 81 % используют Android, а в Индонезии — 112 миллионов пользователей, из которых 87 % используют Android.
Доминирующее положение WhatsApp на мировом рынке коммуникаций основано на Android. Signal, ежемесячная аудитория которого составляет около 85 миллионов активных пользователей, также опирается в основном на пользователей, заботящихся о конфиденциальности, в странах, где преобладает Android.
X Chat обошел это поле битвы, что можно интерпретировать двумя способами. Одной из причин является технический долг: приложение X Chat написано на языке Rust, и обеспечить кроссплатформенную поддержку не так просто, поэтому приоритет iOS может быть обусловлен техническими ограничениями. Другой причиной является стратегический выбор: учитывая, что доля рынка iOS в США составляет почти 55 %, а основная аудитория X находится именно в США, приоритет iOS означает сосредоточение внимания на своей основной аудитории, а не вступление в прямую конкуренцию с развивающимися рынками, где доминирует Android, и с WhatsApp.
Эти две интерпретации не исключают друг друга и приводят к одному и тому же результату: С момента запуска X Chat компания добровольно отказалась от 73 % мировой базы пользователей смартфонов.
Этот вопрос уже описывался некоторыми: X Chat вместе с X Money и Grok образуют триаду, создающую замкнутую систему обмена данными, параллельную существующей инфраструктуре, по своей концепции схожую с экосистемой WeChat. Эта оценка не нова, но в связи с запуском X Chat стоит еще раз вернуться к этой схеме.
X Chat генерирует метаданные об общении, включая информацию о том, кто с кем общается, как долго и как часто. Эти данные поступают в систему управления идентификацией X. Часть содержимого сообщения проходит через функцию «Ask Grok» и попадает в цепочку обработки Grok. Финансовые транзакции обрабатываются системой X Money: внешнее публичное тестирование было завершено в марте, а в апреле система стала доступна для широкой публики, что позволило осуществлять прямые переводы фиатных валют через Visa Direct. Один из руководителей компании Fireblocks подтвердил планы по запуску криптовалютных платежей до конца года; в настоящее время компания обладает лицензиями на осуществление денежных переводов в более чем 40 штатах США.
Все функции WeChat работают в рамках китайского законодательства. Система Маска функционирует в рамках западного нормативно-правового поля, однако он также возглавляет Департамент по повышению эффективности государственного управления (DOGE). Это не копия WeChat; это воссоздание той же логики в иных политических условиях.
Разница заключается в том, что WeChat никогда явно не заявлял о наличии «сквозного шифрования» в своем основном интерфейсе, в то время как X Chat это делает. «Сквозное шифрование», с точки зрения пользователя, означает, что никто, даже сама платформа, не может прочитать ваши сообщения. Архитектурная концепция X Chat не соответствует этим ожиданиям пользователей, однако в ней используется этот термин.
X Chat объединяет три направления данных — «кто этот человек, с кем он общается, а также откуда поступают и куда уходят его деньги» — в руках одной компании.
Фраза на странице справки никогда не была просто технической инструкцией.
Растущий в 50 раз, с FDV, превышающим 10 миллиардов долларов США, почему RaveDAO?
Недавно запущенная бета-версия Parse Noise: как "привязать" к цепочке этот интерес?
Объявить войну ИИ? Сценарий Судного дня за пожаром резиденции Ультрамана
Путь Клода к глупости в диаграммах: Цена бережливости, или Как счет за API вырос в 100 раз
1 миллиард DOT был создан из ниоткуда, но хакер заработал только 230 000 долларов
Уходит ли лобстер в прошлое? Разбираемся с инструментами Hermes Agent, которые увеличивают вашу производительность в 100 раз
Криптовалютные венчурные компании мертвы? Начался цикл исчезновения рынка
Регресс пограничной земли: Возвращение к морской мощи, энергии и доллару
Последнее интервью Артура Хейза: Как розничным инвесторам ориентироваться в конфликте с Ираном?
Атлетико Мадрид против ФК Барселона: 90 минут, чтобы разрушить мечту или написать историю
Ответный матч Атлетико Мадрид против ФК Барселона в Лиге чемпионов — это вопрос жизни и смерти. Полные составы Атлетико Мадрид и ФК Барселона, статистика, временная шкала — плюс кто сдает нервы, а кто побеждает.
App