智能合約漏洞釀禍，資金橫跨多鏈遭洗劫
去中心化金融協議Balancer於11月3日爆出重大安全事件，根據鏈上數據顯示，其V2智能合約出現嚴重漏洞，導致約1.1億美元資產遭駭客轉出至新錢包，成為今年DeFi產業規模最大的駭客攻擊之一。 被竊資產包括6,850枚$osETH、6,590枚$WETH與4,260枚$wstETH。
根據區塊鏈安全公司Decurity的初步分析， 漏洞源自Balancer V2智能合約中「manage User Balance」函數的權限驗證錯誤。 該函數本應核對msg.sender與使用者提供的op.sender欄位，但實際上驗證邏輯出錯，使攻擊者得以在未經授權的情況下執行「WITHDRAW_INTERNAL」操作，直接觸發內部資金轉出。這意味著駭客能在未經授權的前提下，從Balancer的Vault（資金庫）中提領資產。
Balancer官方於X緊急發文表示：「我們已意識到V2池遭遇潛在攻擊，工程與安全團隊已全力調查。」目前所有可暫停的資金池已被緊急凍結，並進入復原模式。
據DeFiLlama數據，Balancer目前鎖倉總值（TVL）約7億美元，這起事件恐波及旗下逾27個分叉專案，損失金額可能持續擴大。
多重審計仍難防漏洞，審查機制遭質疑
這次攻擊引發社群對DeFi安全機制的激烈討論。Balancer團隊表示，V2合約曾接受超過10次獨立安全審計，審查單位包含OpenZeppelin、TrailofBits、Certora與ABDK等頂尖公司。然而漏洞仍被攻擊者發現，讓業界對「審計即安全」的觀念產生質疑。
TAC區塊鏈開發者Suhail Kakar在X上指出：
此次漏洞影響的不僅是Balancer本身，建立於其架構之上的多個協議也遭殃。 Sonic鏈上的BeetsFinance確認損失超過300萬美元，而Balancer的合作鏈Berachain甚至緊急暫停網路運作，進行應急硬分叉以防止損失擴大。
官方承認錯誤，提出20%白帽懸賞
事件發生後，Balancer團隊透過鏈上資訊直接向駭客發出通告，承認管理疏失，並提出懸賞協議：「 我們願意提供20%白帽賞金，只要駭客在48小時內歸還剩餘資金。 」若駭客拒絕合作，Balancer將與區塊鏈取證機構及執法單位合作追查，聲稱已掌握特定IP與時間戳對應的鏈上活動。
Balancer官方同時在聲明中指出， 平台將全面審查V2架構下的共享資金庫設計，並加速推行V3系統，以避免單一合約成為攻擊焦點。 該團隊表示：「我們對此次事件負全責，也理解這對使用者信任造成的衝擊。」
DeFi安全再度亮紅燈，社群信任待重建
此次Balancer被駭事件，不僅凸顯去中心化協議在設計上的系統性風險，也再度引發市場對DeFi安全審計有效性的懷疑。雖然Balancer過去曾多次遭受攻擊，損失金額從2020年的50萬美元到2023年的200萬美元不等，但這次的1億1,000萬美元規模堪稱歷史新高。
在事件持續發酵之際，業界人士呼籲加強多層防護與即時監控，並建立跨協議安全標準。安全審計公司BlockSec指出：「開放金融的透明性，應該伴隨責任制衡與即時回饋機制，否則去中心化的自由只會換來更大的脆弱。」
截至目前，Balancer尚未宣布駭客是否回應懸賞計畫。這場DeFi安全危機仍在延燒，而「透明、審計、信任」三者之間的平衡，再次成為加密世界最艱難的考題。
本文授權轉載自《加密城市》
