แพลตฟอร์ม Balancer DAO ออกแถลงการณ์ onchain ถึงกระเป๋าเงินของผู้ที่อยู่เบื้องหลังการแฮ็กมูลค่ากว่า $100 ล้าน
จากเหตุการณ์โจมตีช่องโหว่ใน Composable Stable Pools (V2) ของโปรโตคอล Balancer เมื่อสัปดาห์ที่ผ่านมา

ในโพสต์บน X เมื่อวันศุกร์ Balancer เผยแพร่สำเนาข้อความที่ส่งถึงแฮ็กเกอร์ โดยให้เวลาถึง วันเสาร์ เพื่อคืนสินทรัพย์ทั้งหมด
แลกรับ “เงินรางวัล (bounty)” ที่ไม่ได้ระบุจำนวนแน่ชัด หากไม่ปฏิบัติตาม DAO จะดำเนินการด้วย “มาตรการทางเทคนิค บนเชน และทางกฎหมาย” เพื่อเรียกคืนสินทรัพย์

“เราทราบดีว่าผู้ใช้ที่ได้รับผลกระทังกำลังรอการอัปเดตเพิ่มเติม” Balancer ระบุ “และเราจะเปิดเผยข้อมูลเพิ่มเติมตามความคืบหน้าของการสืบสวน”

เหตุการณ์แฮ็กมูลค่ากว่า $100 ล้าน

การโจมตีดังกล่าวเกิดขึ้นกับ Balancer V2 และ Composable Stable Pools v5 ซึ่งเป็นหนึ่งในกลไกหลักของโปรโตคอล
มูลค่าสินทรัพย์ที่ถูกย้ายไปยังกระเป๋าใหม่ รวมกว่า $100 ล้านดอลลาร์ ประกอบด้วย

• StakeWise Staked ETH (OSETH)

• Wrapped Ether (WETH)

• Lido wstETH (wSTETH)

เหตุการณ์นี้สร้างคำถามอย่างหนักต่อความปลอดภัยของ Smart Contract บน Balancer แม้ว่าก่อนหน้าโปรโตคอลจะผ่านการตรวจสอบจากบริษัทด้านความปลอดภัยถึง 4 แห่ง

ช่องโหว่เกิดจากฟังก์ชัน “BatchSwaps + Rounding”

จากรายงาน post-mortem ที่เผยแพร่เมื่อวันพุธ Balancer ระบุว่า แฮ็กเกอร์ใช้เทคนิคซับซ้อนที่อาศัย การผสมผสานระหว่าง BatchSwaps และช่องโหว่ใน Upscale rounding function ของธุรกรรมประเภท EXACT_OUT swaps เพื่อดึงสินทรัพย์ออกจากพูล Stable Pool รุ่น V2 และ Composable V5

ทางทีม Balancer ยืนยันว่า กำลังร่วมมือกับนักวิเคราะห์ออนเชนและบริษัทตรวจสอบเพื่อติดตามเส้นทางสินทรัพย์ รวมถึงทำงานร่วมกับหน่วยงานกำกับดูแลในหลายประเทศ

เสนอ “Bounty” มูลค่าสูงสุดกว่า $20 ล้าน

แม้ในประกาศล่าสุดจะไม่ได้ระบุจำนวนรางวัลที่แน่นอน แต่ Balancer เคยประกาศก่อนหน้านี้ว่าจะมอบ สูงสุด 20% ของทรัพย์สินที่ถูกขโมย ให้กับผู้คืนเงิน ซึ่งหมายความว่ารางวัลอาจสูงถึง $20 ล้านดอลลาร์

ณ เวลาที่เผยแพร่ ยังไม่มีรายงานว่าแฮ็กเกอร์ตอบรับข้อเสนอหรือคืนสินทรัพย์แต่อย่างใด

Balancer กล่าวปิดท้ายว่า หากไม่มีการตอบสนองภายในกำหนด จะดำเนินการใช้ทั้ง มาตรการทางเทคนิค (onchain tracing & freezing) และ มาตรการทางกฎหมาย ร่วมกับหน่วยงานที่เกี่ยวข้อง เพื่อปกป้องผู้ใช้ที่ได้รับผลกระทบ

อ้างอิง : cointelegraph.com

ภาพ bloomberg.com