Сеть пошла вразнос: криптомир наблюдает, как рушится один из столпов децентрализации

Хакерская атака на пулы ликвидности Balancer V2 стала очередным напоминанием о том, насколько уязвимы даже зрелые DeFi-протоколы, когда баланс между скоростью внедрения обновлений и безопасностью смещается в сторону первого. Инцидент затронул сразу несколько сетей — Ethereum, Arbitrum, Base, Optimism и другие. Версия V3 не пострадала, но доверие к экосистеме оказалось под вопросом.

Уязвимость и механизм атаки

По данным Balancer, злоумышленник использовал изъян в механизме защиты V2, позволявший обойти ограничения на выполнение определённых команд и вывести активы из пулов ликвидности. Хакеру удалось похитить токены WETH, osETH, wstETH, frxETH, rsETH и rETH, что указывает на направленный характер атаки против пулов, содержащих производные активы эфира.

Почему именно эти активы стали целью? Они отличаются высокой ликвидностью и могут быть быстро проданы или обменены без существенного падения цены. Именно такие токены привлекают злоумышленников, когда нужно вывести крупные суммы, не вызывая мгновенного обвала котировок.

Balancer подтвердил факт взлома и объявил, что расследование ведётся совместно со специалистами по блокчейн-криминалистике.

"Мы ведём диалог с участниками экосистемы и предлагаем хакеру вознаграждение за возврат средств", — сообщили в команде Balancer.

Компания предложила хакеру "белую сделку": вернуть похищенные токены за вычетом 20% вознаграждения. Этот шаг стал попыткой снизить ущерб и избежать дальнейших манипуляций с украденными средствами.

Реакция экосистемы и последствия для пользователей

Реакция последовала мгновенно. Berachain приостановил работу сети, готовя хардфорк для изоляции затронутых контрактов и восстановления активов клиентов на сумму около 12 миллионов долларов. Аналогичные меры приняли Beets Finance и ряд других проектов, использующих протокол Balancer.

Пользователям рекомендовано:

• срочно отозвать разрешения (approvals) на взаимодействие со смарт-контрактами Balancer V2;
• воздержаться от любых операций с затронутыми пулами;
• проверить взаимодействия с кошельками, которые могли контактировать с уязвимыми контрактами.

Можно ли предотвратить подобные атаки? Полностью исключить риск невозможно. Децентрализованные протоколы сложны, а любая ошибка в коде становится точкой входа для атакующего. Но системные аудиты, многоуровневая проверка кода и баг-баунти-программы снижают вероятность таких инцидентов.

Ошибка, допущенная в архитектуре Balancer V2, привела к масштабному ущербу. Последствие — подрыв доверия пользователей и давление на проекты, завязанные на этот протокол. Альтернатива — усиление внутреннего аудита и переход на обновлённую, безопасную версию V3, которая, по заявлению разработчиков, не подвержена эксплойту.

История уязвимостей Balancer

Это не первый случай компрометации Balancer. В августе 2023 года протокол уже подвергался атаке с ущербом около $900 000 - тогда уязвимость находилась в пуле с поддержкой нестандартных токенов. В сентябре 2025 года произошёл фишинговый инцидент, когда злоумышленники подменили сайт Balancer, перенаправив пользователей на поддельную страницу для кражи данных кошельков.

Сравнивая инциденты, видно, что характер угроз эволюционирует. Если раньше хакеры полагались на подмену интерфейсов и социальную инженерию, то теперь они эксплуатируют архитектурные просчёты самого протокола.

Почему компании повторно становятся мишенью? Потому что репутация DeFi-проекта одновременно является его уязвимостью: чем больше заблокированной ликвидности, тем выше потенциальная награда для атакующего.

Показателен контраст с Balancer V3, где была переработана модель безопасности. Здесь разработчики внедрили дополнительные уровни проверок и независимый аудит от нескольких команд, что пока спасло систему от аналогичных атак.

Хакерский выкуп и юридические последствия

Баланс между возвратом активов и преследованием преступника стал ключевым вопросом для Balancer. Команда поставила хакеру жёсткий срок — 24 часа, после чего пообещала передать материалы в правоохранительные органы. Если возврат не состоится в течение 48 часов, данные злоумышленника направят специалистам по цифровой криминалистике для деанонимизации.

Такая стратегия уже применялась ранее в DeFi. Например, в случае с Poly Network в 2021 году, где хакер добровольно вернул почти все $610 млн, получив статус "белого хакера".

Сработает ли это сейчас? Вероятность ниже: большинство атак последних лет совершаются с использованием мультицепочечных маршрутов вывода средств и миксеров, что затрудняет отслеживание.

Ошибкой стало запоздалое информирование сообщества. Пока официальные уведомления выходили, часть ликвидности уже успела покинуть пулы. Последствие — рост паники и цепная реакция вывода средств из других DeFi-протоколов. Альтернатива — заранее внедрённые триггеры автоматического замораживания контрактов при подозрительной активности, как это сделано в Aave или Curve.

Системные выводы для DeFi

Инцидент с Balancer показал: технологическая зрелость DeFi не равна устойчивости. Код — это не закон, если сам закон допускает лазейки. Для экосистемы важнее всего не скорость разработки, а воспроизводимость безопасности.

Что может сделать пользователь, чтобы снизить риск?

1. Проверять адреса контрактов перед каждой транзакцией.
2. Хранить ликвидность не в пулах, а на собственных кошельках.
3. Использовать сторонние инструменты мониторинга (например, DeBank или Revoke. cash) для контроля разрешений.
4. Следить за официальными каналами протоколов, не переходя по ссылкам из сообщений сторонних источников.

Сравнивая с традиционными банками, где кража средств компенсируется страховыми механизмами, в DeFi ответственность полностью лежит на пользователе. Ошибка в выборе контракта равна потере капитала.

А что если подобные атаки станут регулярными? Тогда доверие к децентрализованным платформам снизится до критического уровня, и часть ликвидности уйдёт обратно в централизованные биржи. Это уже происходило после серии атак на Curve и Euler Finance, когда пользователи предпочли вернуть контроль централизованным посредникам ради ощущения стабильности.

Распространённые иллюзии и реальность

Существует убеждение, что смарт-контракты — абсолютно безопасны после аудита. Реальность иная: аудиты снижают риск, но не исключают его. Уязвимость может возникнуть после обновления или интеграции стороннего модуля.

Ещё одна ошибка — вера в то, что мультичейн-защита делает систему непроницаемой. На практике чем больше сетей поддерживает проект, тем больше точек входа для атакующего.

Balancer V2 стал примером этой системной перегруженности. Проект объединял десятки контрактов и цепочек, а значит, увеличивал площадь потенциального взлома.

"Каждое новое обновление несёт не только функциональность, но и риск", — отмечали в отчёте Chainalysis за 2024 год, оценивая общие потери в DeFi более чем в 1,5 млрд долларов.

Перспектива: восстановление или крах доверия

Сценарий развития очевиден. Если хакер не вернёт активы, Balancer потеряет часть ликвидности и столкнётся с каскадным уходом партнёров. Версия V3, не затронутая атакой, станет для команды шансом восстановить доверие и продемонстрировать устойчивость к внешним угрозам.

Именно поэтому кризисная коммуникация и открытость расследования становятся решающими. Не количество средств, а прозрачность реакции формирует долгосрочную репутацию DeFi-платформ.