De decentrale cryptobeurs Balancer is getroffen door een grootschalige hack waarbij ruim 100 miljoen dollar aan digitale activa werd gestolen. De aanval richt zich specifiek op oudere onderdelen van het platform en heeft de cryptogemeenschap opgeschrikt.
Alleen Balancer V2 getroffen
Volgens een verklaring van Balancer op X is de aanval beperkt gebleven tot de V2 Composable Stable Pools. Nieuwere versies, zoals Balancer V3, zijn volgens het bedrijf niet geraakt. Balancer benadrukt dat het platform meerdere keren is gecontroleerd door gerenommeerde beveiligingsbedrijven en dat er al geruime tijd een bug bounty-programma actief is. Toch wist een aanvaller miljoenen aan crypto weg te sluizen.
Kritiek op nut van DeFi-audits
De aanval heeft een discussie op gang gebracht over de betrouwbaarheid van audits in de DeFi-sector.
“Balancer heeft meer dan tien audits laten uitvoeren,” zegt Suhail Kakar, hoofd ontwikkelaarsrelaties bij TAC-blockchain. “Toch is er voor 110 miljoen dollar gestolen. De sector moet accepteren dat ‘gecontroleerd door X’ niet betekent dat alles veilig is. Code is moeilijk, DeFi is moeilijker.”
Volgens gegevens op GitHub werden de smart contracts van Balancer elf keer onderzocht door vier verschillende beveiligingsbedrijven: OpenZeppelin, Trail of Bits, Certora en ABDK. De laatste audit vond plaats in september 2022. Zowel OpenZeppelin als Trail of Bits wilden nog geen inhoudelijke reactie geven.
Honderden miljoenen aan tokens verdwenen
Uit blockchaingegevens blijkt dat tijdens de aanval meer dan 116 miljoen dollar aan gestakete Ethereum-tokens werd verplaatst naar een nieuwe wallet. Het ging onder meer om StakeWise Staked ETH (OSETH), Wrapped Ether (WETH) en Lido wstETH (wSTETH). Onderzoeksbureau Nansen vermoedt dat de aanval mogelijk is veroorzaakt door een fout in de toegangscontrole van de smart contracts. Daardoor kon de aanvaller transacties uitvoeren zonder toestemming.
Balancer biedt hacker beloning aan
In een poging om de schade te beperken, heeft Balancer de aanvaller een white hat-beloning van 20% aangeboden. De hacker zou het volledige bedrag binnen 48 uur moeten terugbetalen om daarvoor in aanmerking te komen. Als dat niet gebeurt, zegt Balancer dat het samenwerkt met forensische blockchainonderzoekers en internationale opsporingsdiensten.
Onzekerheid over verdere ontwikkelingen
Op dit moment heeft Balancer nog geen nieuwe informatie gedeeld over het onderzoek of de status van de beloning. De aanval onderstreept de kwetsbaarheid van DeFi-projecten, zelfs wanneer deze uitgebreid zijn gecontroleerd.
De hack bij Balancer is een van de grootste incidenten binnen de DeFi-sector van de afgelopen maanden en vergroot de druk op ontwikkelaars om de beveiliging van smart contracts te verbeteren.
Claim cadeau
