Desembalaje de la caída del exploit Balancer V2

Balancer, una bolsa descentralizada popular por sus fondos de liquidez autoequilibrados y sus recompensas de liquidez incentivadas por tokens, acaba de sufrir el robo de decenas de millones de dólares de sus bóvedas de liquidez V2.

Muchas versiones bifurcadas de Balancer V2 (bolsas alternativas que reciclan el código de Balancer) también se han visto afectadas, y numerosas blockchains afectadas han tomado medidas drásticas para mitigar las consecuencias.

He aquí por qué las consecuencias están afectando a toda la industria de las criptomonedas. 👇

😭 Error de Balancer

Las bóvedas V2 de Balancer en Ethereum, Base, Polygon y Arbitrum fueron explotadas por casi 80 millones de dólares en la madrugada del lunes 3 de noviembre. El problema se aisló en los "Composable Stable Pools" V2 y no afectó a Balancer V3 ni a otros pools de Balancer.

La plataforma de análisis DeFiLlama enumera 27 bifurcaciones distintas de Balancer V2. Aunque la mayoría de estos protocolos contienen cantidades irrelevantes de TVL, los autores de los ataques drenaron 3,4 millones de dólares de Sonic's Beets y 283.000 dólares de Optimism's Beethoven. También se expusieron unos 12 millones de dólares de fondos de usuarios en el BEX basado en Balancer de Berachain.

Aunque Balancer aún no había publicado una autopsia oficial en el momento de escribir estas líneas, algunos sugirieron que la causa principal fue una comprobación de acceso defectuosa en la función "manageUserBalance", mientras que otros especularon con que se trataba de una "manipulación invariable" de los precios de los tokens del fondo común de Balancer (BPT).

Los usuarios de Balancer y sus bifurcaciones se apresuraron a salir inmediatamente después para proteger sus posiciones. Una ballena se despertó de una siesta de tres años para retirar la totalidad de sus GNO-WETH de 6,5 millones de dólares de Balancer en una única transacción a los treinta minutos del exploit.

Para detener la hemorragia, algunas cadenas se volvieron nucleares, tomando medidas radicales que difuminaban la línea entre la respuesta a la crisis y el control central.

Polygon, que sufrió un robo relativamente menor de 100.000 dólares de su despliegue Balancer V2, vio cómo los validadores de la red censuraban las transacciones del hacker, congelando de hecho los activos digitales robados.

Sonic optó por alterar la lógica de su token "S" nativo, lo que permitió a la Sonic Foundation poner unilateralmente en la lista negra las direcciones de monederos que no podían mantener saldos de tokens nativos y vaciar el saldo de tokens S del atacante.

Mientras tanto, la red Berachain se detuvo por completo, deteniendo por completo la producción de bloques para evitar cualquier robo de BEX, el intercambio nativo oficial de Berachain.

🧐 Los grandes interrogantes de Balancer

El exploit Balancer plantea dos preguntas críticas para la industria de las criptomonedas en general.

En primer lugar, si Balancer V2 -un protocolo probado en batalla que ha existido durante más de cuatro años y ha recibido auditorías de contratos inteligentes de múltiples firmas independientes- puede ser explotado tan fácilmente, ¿qué protocolos DeFi son seguros?

Los usuarios de criptomonedas sin duda disfrutan usando la blockchain, pero cuando las vulnerabilidades de explotación pasan desapercibidas por innumerables expertos en auditoría durante múltiples años en un protocolo DeFi piedra angular, se hace cada vez más difícil jurar por la seguridad de cualquier aplicación basada en contratos inteligentes sin permisos.

En segundo lugar, si ciertas blockchains (es decir, Polygon, Sonic y Berachain) tenían la capacidad de congelar los fondos de este explotador, ¿qué impide a los reguladores financieros obligar a estas blockchains (y a otras con niveles similares de centralización) a congelar toda actividad que consideren ilegal?

En marzo de 2023, el frontend de la bóveda de MakerDAO, Oasis.app (ahora Summer.fi), cumplió una orden del Tribunal Superior de Inglaterra y Gales para acceder a sus propios contratos inteligentes a través de una clave de administrador y recuperar 225 millones de dólares en criptomonedas del hackeo del puente Wormhole.

Este incidente puso de manifiesto el poder que tienen los sistemas jurídicos tradicionales para obligar a los protocolos "descentralizados" a tomar medidas específicas bajo amenaza de arresto u otras consecuencias legales. ¿Podrían los reguladores utilizar ahora el mismo libro de jugadas para perseguir comportamientos que consideran indeseables (como realizar transacciones sin supervisión o identificación gubernamental) a través de múltiples blockchains con una sola orden judicial?