Balancer identifica un error de redondeo como la causa principal del exploit DeFi en múltiples cadenas
Quick Take Balancer publicó su informe preliminar sobre el exploit del 3 de noviembre que drenó millones en activos de los Composable Stable Pools en varias redes. El protocolo señaló un error de redondeo en su lógica de intercambio, el cual fue explotado por los atacantes para manipular los balances de los pools y extraer valor.
El protocolo DeFi Balancer ha publicado su informe preliminar sobre el incidente ocurrido el 3 de noviembre, en el que se drenaron decenas de millones de sus Composable Stable Pools (CSPs) a través de múltiples redes, incluyendo Ethereum, Base, Avalanche, Arbitrum, Optimism, Gnosis, Polygon, Berachain y Sonic.
Como informó anteriormente The Block, el market maker automatizado (AMM) descentralizado y plataforma de liquidez sufrió grandes salidas de fondos de su bóveda. Las estimaciones iniciales de la pérdida aumentaron rápidamente de alrededor de 70 millones de dólares a más de 128 millones en cuestión de horas, según reportaron proveedores de análisis de blockchain como Nansen y Peckshield.
Según Balancer, su socio de seguridad Hypernative detectó la actividad sospechosa a primera hora del lunes. Luego, se contactó a varios colaboradores y whitehats, como SEAL 911, BitFinding y StakeWise, para ayudar a contener la fuga.
Causa raíz: error de redondeo en la lógica de swap
En su informe preliminar, Balancer atribuyó el exploit a un error de redondeo en la función upscale para swaps EXACT_OUT dentro de la función batchSwap de la bóveda v2. Esta función permite a los usuarios combinar múltiples operaciones de swap en una sola transacción para ahorrar gas.
Los atacantes explotaron la forma en que se implementó la liquidación diferida en los pools composables, lo que permitió que la liquidez cayera por debajo de los umbrales mínimos, explicó el equipo. Específicamente, el bug ocurrió cuando factores de escala no enteros provocaron que el sistema redondeara hacia abajo durante ciertos cálculos, creando pequeñas discrepancias que el atacante aprovechó para manipular los balances y drenar valor.
En muchos casos, los fondos fueron primero redirigidos a los balances internos de la bóveda de Balancer antes de ser retirados mediante transacciones posteriores. El bug afectó principalmente a los pools Composable Stable v5 con ventanas de pausa expiradas, mientras que la automatización de emergencia de Hypernative pausó automáticamente los pools v6.
“El incidente se limitó a los Composable Stable Pools en Balancer v2 y sus forks en otras cadenas como BEX y Beets”, escribió Balancer. “Balancer v3 y todos los demás tipos de pools permanecen sin verse afectados.”
Mientras tanto, los pools CSPv6 fueron automáticamente puestos en modo de recuperación bajo controles de emergencia.
Impacto multichain y recuperación
Balancer indicó que el ataque abarcó varias redes y forks, incluyendo BEX en Berachain, Beets en Sonic y despliegues basados en Gnosis. Sin embargo, los socios del ecosistema iniciaron acciones de emergencia para contener las consecuencias. StakeWise DAO recuperó aproximadamente 19 millones en osETH y 1.7 millones en osGNO, cerca del 73.5% del osETH robado. Los validadores de Berachain detuvieron la red para realizar un hard fork de emergencia que abordó la exposición de BEX v2, el cual se completó el 4 de noviembre.
Además, Sonic Labs congeló las direcciones sospechosas de los atacantes, restringiendo los movimientos de fondos vinculados a su fork de Balancer. Gnosis restringió temporalmente la actividad de los puentes para evitar la propagación entre cadenas, mientras que Monerium congeló 1.3 millones de EURe en la bóveda afectada.
Adicionalmente, BitFinding y los bots Base MEV recuperaron sumas menores —aproximadamente 750,000 dólares en total— y las devolvieron a la DAO de Balancer. El equipo agregó que una parte de los activos afectados ha sido recuperada o congelada y que se publicará un informe final verificado una vez que todos los socios completen la conciliación on-chain.
Balancer afirma que cualquier cifra de pérdida circulante no está confirmada hasta que se concluya la verificación independiente.
Mitigaciones y próximos pasos
Como parte de su respuesta, Balancer ha deshabilitado la fábrica CSPv6 para evitar la creación de nuevos pools vulnerables y ha detenido los gauges de liquidez para los pools afectados para frenar más emisiones.
Además, el equipo ha habilitado las salidas de los pools pausados para permitir retiros seguros.
El marco legal Safe Harbor del protocolo (BIP-726), adoptado el año pasado, permitió que los equipos whitehat intervinieran de inmediato sin riesgo legal, una estructura que según Balancer “mejoró materialmente la velocidad y coordinación de la respuesta.”
Se espera un informe final, incluyendo las cifras confirmadas de pérdidas y recuperación, “una vez que todas las validaciones de los socios estén completas”, según la última actualización de Balancer.
Descargo de responsabilidad: El contenido de este artículo refleja únicamente la opinión del autor y no representa en modo alguno a la plataforma. Este artículo no se pretende servir de referencia para tomar decisiones de inversión.
También te puede gustar
Anthropic inicia su roadshow tan pronto como este martes; tras la ola de ventas en IA, el precio de IPO enfrenta una prueba importante
Si la presentación ante inversionistas avanza sin inconvenientes, Anthropic podría completar la fijación de precios y listar sus acciones en Nasdaq durante la semana del 16 de noviembre, justo antes del feriado de Acción de Gracias en Estados Unidos. Según informes del viernes pasado, tras la fuerte caída de las acciones de empresas de inteligencia artificial, algunos inversores potenciales están considerando una valuación para Anthropic de entre 1,2 y 1,3 billones de dólares, e incluso algunos la contemplan en 1,1 billones, muy por debajo de los aproximadamente 2 billones que se discutían previamente en el mercado.
El dilema de elegir activos en Estados Unidos bajo altas tasas de interés
¿La regulación más estricta de los centros de datos en Estados Unidos afecta las acciones de infraestructura de IA? Morgan Stanley: El impacto será limitado hasta 2027 y los riesgos se concentran más en 2028.
Morgan Stanley considera que la venta de acciones de infraestructura de IA provocada por las elecciones legislativas en Estados Unidos podría ser una reacción excesiva, que el riesgo de expansión de centros de datos en 2027 es limitado y que la demanda de potencia informática para IA sigue siendo fuerte. Algunas acciones tecnológicas ya muestran oportunidades de inversión, y Microsoft sigue siendo el principal objetivo recomendado.
Goldman Sachs señala líneas de tendencia clave, último soporte del Nasdaq en peligro
El índice Nasdaq 100 ha caído durante cuatro semanas consecutivas y actualmente está probando con precisión la línea de tendencia clave que conecta los mínimos de 2025 y 2026 (26,630 puntos). A pesar de que las ganancias del tercer trimestre fueron sólidas, el aumento de la aversión al riesgo y un indicador de pánico en alza han llevado a los inversores a descontar una posible desaceleración en 2028, lo que ha provocado una caída continua en los precios de las acciones. Con una salida masiva de capital extranjero y una marcada divergencia en las valoraciones, el mercado espera la prueba del CPI y los informes financieros de los gigantes de los chips esta semana.
Precios de las criptos
Más
