Analyse des retombées de l'exploit Balancer V2

Balancer, une bourse décentralisée populaire pour ses pools de liquidité auto-équilibrés et ses récompenses de liquidité incitées par des jetons, vient de se faire voler des dizaines de millions de dollars dans ses coffres de liquidité V2.

De nombreuses versions forkées de Balancer V2 (échanges alternatifs qui recyclent le code de Balancer) ont également été touchées, et de nombreuses blockchains affectées ont pris des mesures drastiques pour atténuer les retombées.

Voici pourquoi les retombées se répercutent sur l'ensemble de l'industrie cryptographique. 👇

😭 Balancer Blunder

Les coffres-forts V2 de Balancer à travers Ethereum, Base, Polygon et Arbitrum ont été exploités pour près de 80 millions de dollars dans les premières heures du matin du lundi 3 novembre. Le problème a été isolé aux "Composable Stable Pools" de la V2 et n'a pas eu d'impact sur Balancer V3 ou d'autres pools de Balancer.

La plateforme d'analyse DeFiLlama recense 27 fourches distinctes de Balancer V2. Alors que la majorité de ces protocoles contiennent des quantités négligeables de TVL, les pirates ont drainé 3,4 millions de dollars de Sonic's Beets et 283 000 dollars de Optimism's Beethoven. Environ 12 millions de dollars de fonds d'utilisateurs ont également été exposés sur le BEX de Berachain basé sur Balancer.

Bien que Balancer n'ait pas encore publié de rapport officiel au moment de la rédaction de cet article, certains ont suggéré que la cause première était un contrôle d'accès défectueux dans la fonction "manageUserBalance", tandis que d'autres ont supposé qu' il s'agissait d'une "manipulation invariante" des prix des jetons du pool Balancer (BPT).

Les utilisateurs de Balancer et de ses forks se sont précipités vers les sorties dans la foulée immédiate pour protéger leurs positions. Une baleine s'est réveillée d'une sieste de trois ans pour retirer l'intégralité de ses 6,5 millions de dollars de GNO-WETH de Balancer en une seule transaction dans les trente minutes qui ont suivi l'exploit.

Pour arrêter l'hémorragie, certaines chaînes sont devenues nucléaires, prenant des mesures radicales qui ont brouillé la frontière entre la réponse à la crise et le contrôle central.

Polygon, qui s'est fait voler 100 000 dollars relativement peu importants dans son déploiement Balancer V2, a vu les validateurs du réseau censurer les transactions du pirate, ce qui a eu pour effet de geler les actifs numériques volés.

Sonic a choisi de modifier la logique de son jeton "S" natif, ce qui a permis à la Sonic Foundation d'établir unilatéralement une liste noire des adresses de portefeuilles détenant des soldes de jetons natifs et de vider le solde du jeton "S" de l'attaquant.

Pendant ce temps, le réseau Berachain s'est complètement arrêté, stoppant complètement la production de blocs pour empêcher tout vol de BEX, l'échange natif officiel de Berachain.

Les grandes questions de Balancer

L'exploit de Balancer soulève deux questions cruciales pour l'ensemble du secteur de la cryptographie.

Premièrement, si Balancer V2 - un protocole éprouvé qui existe depuis plus de quatre ans et qui a fait l'objet d'audits de contrats intelligents de la part de plusieurs entreprises indépendantes - peut être exploité aussi facilement, quels sont les protocoles DeFi qui sont sûrs ?

Les utilisateurs de crypto-monnaies apprécient sans aucun doute l'utilisation de la blockchain, mais lorsque des vulnérabilités d'exploitation passent inaperçues auprès d'innombrables experts en audit pendant plusieurs années dans un protocole DeFi fondamental, il devient de plus en plus difficile de jurer de la sécurité de toute application basée sur des contrats intelligents sans permission.

Deuxièmement, si certaines blockchains (Polygon, Sonic et Berachain) avaient la capacité de geler les fonds de cet exploiteur, qu'est-ce qui empêche les régulateurs financiers d'obliger ces blockchains (et d'autres avec des niveaux de centralisation similaires) à geler toutes les activités qu'ils considèrent comme illégales ?

En mars 2023, le frontend du coffre-fort MakerDAO Oasis.app (aujourd'hui Summer.fi) s'est conformé à une ordonnance de la Haute Cour d'Angleterre et du Pays de Galles pour ouvrir une porte dérobée sur ses propres contrats intelligents via une clé d'administrateur et récupérer 225 millions de dollars de crypto-monnaie provenant du piratage du pont Wormhole.

Cet incident a révélé le pouvoir qu'ont les systèmes juridiques traditionnels de forcer les protocoles "décentralisés" à prendre des mesures spécifiques sous la menace d'une arrestation ou d'autres conséquences juridiques. Les régulateurs pourraient-ils désormais utiliser le même manuel pour cibler les comportements qu'ils considèrent comme indésirables (comme les transactions sans contrôle ou identification du gouvernement) sur plusieurs blockchains avec une seule décision de justice ?