Balancer V2 在重大 DeFi 駭客攻擊中損失 1.28 億美元

2025年11月3日，Balancer作為最古老且最受信任的去中心化金融（DeFi）平台之一，遭遇了一次大規模駭客攻擊，導致用戶損失超過1.28億美元。

這次駭客攻擊始於週一上午7:48（UTC +8時間為15:48）。攻擊者成功竊取了約6,587個WETH（價值約2,450萬美元）、6,851個osETH（價值2,690萬美元）和4,260個wstETH（價值1,930萬美元）以及其他代幣。被盜資金迅速轉移到由駭客控制的新創建錢包中。

攻擊如何運作

安全研究人員發現駭客利用了Balancer V2智能合約代碼中的一個關鍵漏洞。這個漏洞存在於名為"manageUserBalance"的函數中，該函數原本應該控制誰可以在系統內移動資金。根據區塊鏈安全專家的說法，攻擊者利用了一個有缺陷的訪問檢查，該檢查混淆了兩個不同的發送者身份，從而允許未經授權的提款。

攻擊方法非常複雜。駭客部署了惡意智能合約並創建了假代幣，以操縱Balancer流動性池中真實代幣的價格。他們利用系統計算中的微小四捨五入誤差，在單次交易中使用多次交換來放大這些小差異，造成大規模價格扭曲。這使他們能夠以極為有利的匯率從池中抽走流動性。

來源：@Balancer

使這次攻擊特別令人擔憂的是其中涉及的計劃程度。區塊鏈數據顯示，攻擊者精心準備了數月，通過Tornado Cash使用0.1 ETH的小額存款為其帳戶提供資金，以隱藏其蹤跡。這種有條理的方法表明這是一位技術高超且經驗豐富的駭客所為，可能與之前的加密貨幣漏洞利用有關聯。

多個區塊鏈遭受重創

損害並不僅限於一個網絡。由於Balancer跨多個區塊鏈運作，駭客攻擊迅速蔓延。Ethereum遭受了最嚴重的損失，達9,900萬美元。其他網絡也遭受了重大打擊：Berachain損失了1,286萬美元，Arbitrum損失了686萬美元，Base損失了390萬美元，Sonic損失了344萬美元，Optimism損失了158萬美元，而Polygon損失了23.2萬美元。

連鎖反應超出了Balancer本身。幾個複製了Balancer代碼（稱為"分叉"）的項目也變得容易受到同樣攻擊。Beets Finance報告了約300萬美元的受影響資金，而Beefy Finance暫停了所有與Balancer V2相連的產品作為安全措施。

在一個有爭議的舉動中，Berachain驗證者完全停止了他們的區塊鏈網絡並執行了緊急硬分叉以保護估計1,200萬美元的用戶資金。這一決定在加密貨幣社區引發了爭論，因為許多人認為停止和逆轉區塊鏈交易違背了去中心化的核心原則。

審計問題

這次駭客攻擊最令人不安的方面可能是Balancer V2已經被頂級安全公司審計了10多次，包括OpenZeppelin、Trail of Bits、Certora和ABDK。這些審計發生在2021年至2023年間，但漏洞仍然被忽略了。

這一失敗引發了對DeFi領域安全審計有效性的嚴重質疑。區塊鏈研究員Suhail Kakar在社交媒體上表示："Balancer經歷了10多次審計。保險庫被不同公司單獨審計了三次，仍然被駭客攻擊損失了1.1億美元。這個領域需要接受'由X審計'幾乎毫無意義的事實。"

安全專家現在認為靜態代碼審計已不再足夠。相反，DeFi平台需要持續的實時監控系統，能夠在資金被抽走之前檢測可疑活動。

市場影響和恢復努力

市場對這一消息反應迅速。Balancer的原生BAL代幣下跌了11.1%至0.87美元，協議的總鎖定價值在24小時內從7.76億美元暴跌到了4.06億美元。這種大規模資金外流顯示了當安全受到威脅時，用戶信心會多快流失。

Balancer團隊通過向攻擊者提供一項交易作為回應：歸還所有被盜資金，並保留20%作為"白帽獎金"（價值約2,560萬美元）。團隊給了駭客48小時接受時間，並警告如果資金不歸還，他們將與執法機構和區塊鏈取證專家合作。

恢復努力已取得一些成功。受影響協議之一的StakeWise成功從攻擊者那裡收回了約1,900萬美元的osETH代幣和170萬美元的osGNO代幣。這代表了被盜osETH的約73.5%。收回的資金將根據攻擊前的餘額返還給受影響的用戶。

更大的圖景

這次駭客攻擊符合2025年令人不安的模式。僅在上半年，駭客就竊取了超過20億美元的加密貨幣，總損失現已超過22億美元。這些資金中的大部分已被追蹤到據稱與北韓政府有關的駭客，北韓將加密貨幣盜竊作為其武器計劃的關鍵收入來源。

雖然Balancer駭客攻擊尚未得到確認歸屬，但其複雜的計劃和執行與惡名昭著的Lazarus Group（一個以大型搶劫前進行廣泛準備而聞名的北韓國家支持的駭客組織）所進行的攻擊有相似之處。

Balancer確認只有V2 Composable Stable Pools受到影響，而Balancer V3和其他池類型仍然安全。團隊正在與安全研究人員合作製作詳細的事後報告，並已警告用戶關於冒充Balancer官方通訊的虛假信息。

當信任崩潰時

Balancer漏洞利用事件為整個DeFi行業敲響了警鐘。儘管它是最成熟且經過審計最多的協議之一，它仍然成為了一次毀滅性攻擊的受害者。這一事件證明，即使是廣泛的安全措施也不能保證保護，加密貨幣領域必須超越當前做法，以領先於日益複雜的駭客。現在的問題是，行業是否會從這次失敗中吸取教訓，並實施實時監控和分層安全系統，以防止下一次重大漏洞。