Balancer golpeado por un exploit cuando $128 millones se movieron de las bóvedas

Parece que las bóvedas de Balancer han tenido un desafortunado encuentro con un exploit malicioso, lo que ha provocado que unos muy generosos 128 millones de dólares desaparezcan en el vacío. Los datos en cadena no mienten y muestran que los activos (más de 128 millones de dólares para ser exactos) se han transferido fuera de las bóvedas del protocolo. Definitivamente alguien está teniendo un gran día.

Ah, ¿y el botín robado? Estamos hablando de algunos pesos pesados aquí: osETH, WETH y wstETH. El ladrón no se ha llevado sólo unas cuantas monedas, no, no, está consolidando su tesoro, lo que ha despertado algunas preocupaciones sobre el blanqueo de dinero. ¿Quién diría que las criptomonedas podrían ser tan emocionantes?

Equilibrador golpeado por un exploit

A Balancer, su querido protocolo de finanzas descentralizadas (DeFi), le acaban de robar el dinero del almuerzo. Los datos en cadena cuentan una historia triste, con más de $128 millones arrebatados y trasladados a una nueva y misteriosa billetera. Un vistazo rápido a los fondos robados muestra 6850 osETH, 6590 WETH y 4260 wstETH. El atraco tuvo como objetivo las bóvedas de Balancer v2, que son el corazón de los tokens de la plataforma y facilitan las transacciones entre fondos de liquidez. Así que sí, este no es sólo un truco común y corriente.

“Somos conscientes de un posible exploit que afecta a los grupos de Balancer v2. Nuestros equipos de ingeniería y seguridad están investigando con alta prioridad. Compartiremos actualizaciones verificadas y los próximos pasos tan pronto como tengamos más información”.

Y si eso no fuera suficientemente malo, las bóvedas de Sonic, Polygon y Base también quedaron atrapadas en el caos. Mikko Ohtamaa, cofundador y director ejecutivo de Trading Strategy, hizo un comentario interesante: cree que un contrato inteligente defectuoso podría ser la raíz del problema. ¿Las malas noticias? Si el ataque utilizara la misma vulnerabilidad en versiones anteriores de Balancer, las cosas podrían empeorar mucho. ¿Y adivina qué? El ataque aún continúa, como una especie de película de atraco digital que se desarrolla a lo largo de múltiples cadenas. Tomen sus palomitas de maíz, amigos.

Cómo se desarrolló el ataque

Entonces, ¿cómo se produjo este espectacular ataque? Según los expertos en seguridad de Decurity, todo se debió a una falla de control de acceso furtivo en la función “manageUserBalance” de Balancer. ¿El problema? ValidateUserBalanceOp, que compara la dirección del remitente con una dirección proporcionada por el usuario, permitió a los atacantes pasar a los porteros sin siquiera “lo siento, puerta equivocada”. Esto les permitió realizar retiros no autorizados de los contratos inteligentes de Balancer. Suave, ¿verdad?

“manageUserBalance en Balancer tiene una verificación de acceso defectuosa. En _validateUserBalanceOp verifica msg.sender con op.sender proporcionado por el usuario. Permite la ejecución de UserBalanceOpKind.WITHDRAW_INTERNAL (tipo = 1)”.

Los expertos en seguridad en cadena ya han notado que el atacante está consolidando los fondos robados, lo que genera alarmas de que podrían estar preparándose para lavar el botín a través de mezcladores descentralizados. Porque, por supuesto, así es como funciona en el mundo del criptocrimen.

Una tercera hazaña

En caso de que no lo sepas, Balancer es una plataforma descentralizada construida sobre Ethereum que permite a los usuarios intercambiar tokens y proporcionar liquidez utilizando sus fondos de autoequilibrio. Ha existido desde 2020 y tiene más de $350 millones en TVL (valor total bloqueado) solo en Ethereum. Pero, como todo lo bueno, no está exento de contratiempos; de hecho, esta es la tercera vez que Balancer se ve afectado por un exploit. Las dos primeras veces fueron en 2021 y 2023, y en ambas resultaron en la desaparición de millones de dólares en el éter. ¿La moraleja de la historia? Estén atentos a sus bóvedas, amigos.

El sistema de bóveda de Balancer v2 fue diseñado para separar la contabilidad de tokens de la lógica del grupo, haciendo que los grupos sean más pequeños, más simples y (supuestamente) más seguros. La idea era facilitar que cualquiera pudiera conectar un nuevo diseño de piscina sin necesidad de crear un DEX completamente nuevo. Aparentemente, también es un poco demasiado fácil para los piratas informáticos conectarse a él.

2025-11-04 17:16