En la noche del 3 de noviembre, el sistema de monitoreo de BlockSec se encendió en rojo. El protocolo Balancer V2 fue atacado simultáneamente en múltiples cadenas, con pérdidas que superan los 120 millones de dólares — y además sigue subiendo.

La precisión de este ataque es escalofriante. Los hackers se centraron en un bug extremadamente oculto en el código subyacente de Balancer V2: un manejo inadecuado del escalado de precisión y la dirección del redondeo. ¿Suena técnico? En términos simples, significa que el contrato puede generar pequeñas desviaciones al calcular las proporciones de los activos, las cuales normalmente no se perciben, pero cuando se amplifican y aprovechan, se convierten en una herida mortal.

El proceso de ataque es una operación digna de un libro de texto. Primer paso, obtener una gran cantidad de capital inicial a través de un préstamo relámpago. Alguien ha recordado el evento del pool de tokens STA en junio de este año: en ese momento, el atacante tomó prestadas 100,000 WETH de dYdX para calentar, esta vez directamente llevó la escala al máximo. Segundo paso, llamar a la función batchSwap del contrato Vault y operar frenéticamente en el pool estable.

La clave está en que el "invariable de la piscina estable" ha sido explotado. Normalmente, este valor debería garantizar que la proporción de activos en la piscina se mantenga constante, pero el atacante, a través de una secuencia de transacciones cuidadosamente diseñada, provoca que el contrato genere un error acumulativo durante el proceso de cálculo. Cada transacción se lleva un poco de ganancia, y con cientos o miles de transacciones ejecutadas en conjunto, el error se convierte en una vulnerabilidad de números astronómicos.

Lo más irónico es el momento. El mercado acaba de pasar por una ola de rumores sobre "las tropas regulares de DeFi", con marcos de cumplimiento y auditorías por todas partes. Como resultado, un problema en el código subyacente hizo que todo el empaque se desmoronara. Los activos de miles de billeteras se desvanecieron de la noche a la mañana, y el pánico en cadena aplastó directamente el sentimiento del mercado.

Los detalles técnicos aún están siendo revelados por el equipo de seguridad, pero la lección ya es lo suficientemente clara: por muy elegante que sea el diseño del producto, no puede soportar un descuido a nivel de código.