¡Balancer auditado 11 veces sigue siendo hackeado! Un agujero de 1.16 millones de dólares causa una Gran caída del 67% en el TVL.

Después de que el fondo de Balancer v2 fue atacado debido a una vulnerabilidad crítica, lo que resultó en la pérdida de más de 116 millones de dólares en fondos durante varias semanas, el Balancer DAO ha comenzado a discutir un plan para distribuir aproximadamente 8 millones de dólares en activos recuperados a los LP afectados. La propuesta incluye ofrecer recompensas estructuradas a los hackers de sombrero blanco y compensar a los usuarios según los datos de instantánea de los activos del pool de usuarios en el momento de la explotación de la vulnerabilidad.

Balancer enfrenta su tercer evento de seguridad importante

（fuente：GitHub）

Esta explotación de vulnerabilidad es causada por defectos en el contrato inteligente, marcando el tercer gran incidente de seguridad que sufre Balancer. El hecho de que sea el tercer gran incidente de seguridad es en sí mismo irónico, mostrando que Balancer tiene problemas sistémicos en su protección de seguridad. Según la página de GitHub de la plataforma Balancer, el código de Balancer ha sido revisado 11 veces por cuatro diferentes empresas de seguridad en blockchain.

A pesar de haber sido auditada, la plataforma aún sufrió un ataque de hackers, lo que generó dudas entre algunos usuarios de criptomonedas sobre el valor de la auditoría y si realmente garantiza la seguridad del código. Este caso ha sonado la alarma para toda la industria DeFi: aunque la auditoría de contratos inteligentes es una parte importante de la protección de seguridad, no es infalible. Las empresas de auditoría pueden pasar por alto vulnerabilidades complejas, o los atacantes pueden haber encontrado nuevas formas de explotación.

El 5 de noviembre, Balancer publicó un informe de análisis posterior, que describe la causa raíz de este ataque hacker: una compleja vulnerabilidad en la función de redondeo utilizada en el intercambio EXACT_OUT en su pool de stablecoins. El diseño de esta función de redondeo tenía como objetivo redondear hacia abajo al ingresar los precios de los tokens, pero los atacantes lograron manipular el proceso de cálculo para redondear hacia arriba. Los atacantes combinaron esta vulnerabilidad con transacciones por lotes (una única transacción que incluye múltiples operaciones), robando así fondos del pool de Balancer.

La complejidad de este tipo de ataque explica por qué 11 auditorías no pudieron detectar el problema. La lógica de la función de redondeo puede parecer normal cuando se analiza por separado, pero al combinarse con el mecanismo de transacciones en lote, se crea una vulnerabilidad que puede ser explotada. Esta interacción compleja y multifuncional a menudo es el punto ciego más difícil de detectar para los auditores.

y provocó que el valor total bloqueado cayera de aproximadamente 775 millones de dólares a 258 millones de dólares, lo que representa una disminución del 67%. La pérdida de TVL de tal magnitud demuestra que la confianza de los inversores en Balancer ha sufrido un duro golpe. El valor del token BAL también ha perdido alrededor del 30%, reflejando las expectativas pesimistas del mercado sobre el futuro del protocolo. Según Deddy Lavid, CEO de la empresa de seguridad de redes blockchain Cyvers, el ataque a Balancer es uno de los ataques “más complejos” de 2025, lo que destaca la importancia de la seguridad para los usuarios de criptomonedas a medida que las amenazas de seguridad continúan evolucionando.

Esquema de compensación de 8 millones de dólares y mecanismo de recompensas para hackers de sombrero blanco

(Fuente: Balancer)

Después de que el fondo de Balancer v2 fuera atacado debido a una vulnerabilidad crítica, lo que resultó en la pérdida de más de 116 millones de dólares en fondos durante varias semanas, el Balancer DAO ha comenzado a discutir un plan para distribuir aproximadamente 8 millones de dólares en activos recuperados a los LP afectados. La propuesta detalla cómo se distribuirán aproximadamente 8 millones de dólares recuperados del ataque de 116 millones de dólares del 1 de noviembre a las víctimas. Dos miembros de la comunidad del protocolo Balancer presentaron una propuesta el jueves que esboza el plan de distribución de parte de los fondos recuperados de la vulnerabilidad de 116 millones de dólares del protocolo.

En un robo de 116 millones de dólares, aproximadamente 28 millones de dólares fueron recuperados por hackers de sombrero blanco, equipos de rescate internos y la plataforma de staking de liquidez de Ethereum, StakeWise. Sin embargo, la propuesta solo cubre los 8 millones de dólares recuperados por los hackers de sombrero blanco y el equipo de rescate interno, mientras que los cerca de 20 millones de dólares recuperados por StakeWise se asignarán por separado a sus usuarios. Esta estrategia de manejo separado refleja la complejidad de los diferentes caminos de recuperación y las consideraciones legales.

Estructura de distribución de fondos recuperados

Hackers de sombrero blanco + Rescate interno: alrededor de 8 millones de dólares, asignados a los LP afectados según esta propuesta.

StakeWise Recuperación: 19,700,000 dólares en osETH y osGNO, manejando por separado la distribución a los usuarios de StakeWise

Certora recuperación colaborativa: 4.1 millones de dólares, debido a un acuerdo previo que no cumplía con las condiciones del premio.

Total recuperado: aproximadamente 28 millones de dólares (24% de las pérdidas)

Pérdida no recuperada: aproximadamente 88 millones de dólares (representa el 76% de la pérdida)

La propuesta incluye proporcionar recompensas estructuradas a los hackers de sombrero blanco y compensar a los usuarios en función de los datos de instantánea de los activos del pool de usuarios en el momento de la explotación de la vulnerabilidad, lo que es consistente con el “Acuerdo de Puerto Seguro”. El acuerdo establece un límite de recompensa de 1 millón de dólares por incidente, y los hackers de sombrero blanco deben completar un KYC completo y una verificación de sanciones. Este mecanismo de recompensa estructurada tiene como objetivo incentivar a los hackers de sombrero blanco a elegir divulgar de manera responsable cuando descubren vulnerabilidades, en lugar de explotarlas por sí mismos.

En Arbitrum, varios rescatadores anónimos han renunciado a sus recompensas. Este tipo de comportamiento altruista es elogiado en la comunidad cripto, demostrando que no todos los hackers de “sombrero blanco” actúan por motivos económicos; algunos lo hacen simplemente para proteger la seguridad del ecosistema. Los tokens recuperados abarcan redes como Ethereum, Polygon, Base y Arbitrum, y los proveedores de liquidez recibirán compensación en proporción a los tokens inicialmente proporcionados, según el pool.

Detalles técnicos y controversias del mecanismo de compensación

El autor sugiere que todas las compensaciones deben ser no socializadas, lo que significa que los fondos se asignan únicamente a los fondos de liquidez específicos que han perdido capital, y se pagan proporcionalmente según la participación de cada titular en el fondo de liquidez, representado por los Balancer Pool Tokens (BPT). Este diseño asegura la equidad y evita la socialización de pérdidas al estilo de “robar a los ricos para dar a los pobres”.

El autor considera que la compensación también debería pagarse en forma de bienes, y las víctimas de ataques de hackers deberían recibir una compensación valorada en los tokens que han perdido, para evitar desajustes de precios entre diferentes activos digitales. Este detalle es extremadamente importante, porque si se compensara a todas las víctimas con un único token (como ETH o USDC), podría surgir una nueva injusticia debido a las fluctuaciones del precio del token. Por ejemplo, si un LP pierde una stablecoin pero recibe una compensación en un activo volátil, esta descoordinación podría llevar a que el valor real de la compensación no se corresponda con la pérdida.

Actualmente se está desarrollando un mecanismo de reclamación. Si la propuesta es aprobada, los usuarios deberán aceptar los términos de uso actualizados. Este proceso se estima que tomará varias semanas para perfeccionar los detalles técnicos y el marco legal. El mecanismo de reclamación necesita verificar la identidad y la cantidad de pérdida de cada víctima, lo cual no es una tarea fácil en un entorno descentralizado.

Además, 19,700,000 dólares de osETH y osGNO fueron recuperados por StakeWise y se manejarán por separado. Esta parte de los fondos está directamente relacionada con los usuarios de la plataforma StakeWise, por lo que su lógica de asignación es diferente de la de los LP generales. Los 4,100,000 dólares recuperados en colaboración con Certora no cumplen con los requisitos de recompensa debido a un acuerdo previo. Esto sugiere que Certora podría ser un socio de seguridad de Balancer, y su asistencia en la recuperación de fondos se basa en un acuerdo de colaboración existente, y no en un programa de recompensas de “white hat”.

Exposición de defectos sistémicos en la auditoría de seguridad DeFi

Según la página de GitHub de la plataforma Balancer, el código de Balancer ha sido revisado 11 veces por cuatro diferentes compañías de seguridad en blockchain. A pesar de haber sido auditada, la plataforma aún fue atacada por hackers, lo que ha suscitado dudas entre algunos usuarios de criptomonedas sobre el valor de las auditorías y si realmente garantizan la seguridad del código. Este caso destaca las fallas sistemáticas actuales en las auditorías de seguridad de DeFi.

Las empresas de auditoría suelen revisar el código en un tiempo y presupuesto limitados, enfocándose en patrones de vulnerabilidad conocidos y problemas de seguridad comunes. Sin embargo, vulnerabilidades complejas y multifuncionales como las que enfrentó Balancer pueden requerir pruebas dinámicas profundas y simulaciones de ataques en todo el sistema para ser detectadas. Además, la puntualidad del informe de auditoría también es un problema, ya que el código puede seguir actualizándose después de la auditoría, y los cambios nuevos pueden introducir nuevas vulnerabilidades.

El problema más profundo es que la industria de auditoría carece de estándares unificados y mecanismos de responsabilidad. Las empresas de auditoría suelen incluir en sus informes una cláusula de exención de responsabilidad, indicando que la auditoría no garantiza que el código sea completamente seguro. Esta falta de responsabilidad significa que, incluso si la auditoría falla, las empresas de auditoría rara vez enfrentan consecuencias sustanciales. El caso de Balancer podría impulsar a la industria a revisar los estándares de auditoría y la distribución de responsabilidades.

El informe de análisis posterior publicado el 5 de noviembre revela los detalles técnicos del ataque. El diseño de la función de redondeo tiene como objetivo redondear hacia abajo al ingresar precios de tokens, pero el atacante logró alterar el proceso de cálculo para redondear hacia arriba. El atacante combinó esta vulnerabilidad con transacciones por lotes, robando así fondos del fondo de Balancer. Este tipo de ataque es extremadamente sofisticado y requiere una comprensión profunda de la lógica del código de Balancer, así como la capacidad de detectar comportamientos inesperados que surgen de la combinación de diferentes funciones.