«Аудит — это не страховка. Это моментальный снимок. А уязвимости — живые организмы.»
— Палмер Датти, сооснователь Ethereum
28 октября 2025 года протокол децентрализованного обмена и управления портфелями Balancer стал жертвой масштабной атаки. Хакеры похитили уже $116,6 млн активов, и инцидент до сих пор развивается. Сначала злоумышленники извлекли $70,6 млн (включая 6 587 WETH, 6 851 osETH и 4 260 wstETH), но затем расширили атаку на другие сети — Ethereum, Arbitrum, Base, Polygon, OP Mainnet и Sonic. Это делает взлом одним из самых технически сложных и кросс-чейн-масштабных в истории DeFi.
По данным Nansen и BlockSec, уязвимость была обнаружена в одном из вспомогательных модулей Balancer, ответственных за управление ликвидностью пулов. Хотя основной контракт прошёл аудит у OpenZeppelin и Trail of Bits, хакеры нашли логическую ошибку в механизме перераспределения токенов, которая позволяла обойти проверку баланса и извлекать средства без внесения депозита.
Атака началась с Ethereum, но практически мгновенно распространилась на другие сети через мосты и межсетевые оракулы. Это говорит о высокой степени подготовки — хакеры заранее изучили архитектуру Balancer и подготовили инструменты для мультичейн-эксплуатации.
Balancer — уже не первая жертва этого месяца. В октябре 2025 года крипторынок потерял более $88 млн в результате около 20 инцидентов. С начала года общий ущерб превысил $2,1 млрд (CertiK).
При этом большинство пострадавших проектов были аудированы и имели репутацию «безопасных». Это подтверждает тревожную тенденцию: хакеры перешли от эксплуатации известных уязвимостей (например, reentrancy) к целевой инженерии логических багов, которые не видны даже опытным аудиторам.
Balancer — не просто DEX. Это протокол для автоматизированного управления портфелями с кастомными весами активов. Это создаёт сложные взаимодействия между контрактами, оракулами и пулями ликвидности. Чем сложнее логика, тем выше риск «слепых зон».
Кроме того, Balancer активно использовал модульный подход: ядро протокола + децентрализованные плагины. Один из таких плагинов и оказался точкой входа. Это классический пример того, как «гибкость» оборачивается риском.
Как отметил исследователь из PeckShield: «Современные DeFi-протоколы — это как небоскрёб без пожарной сигнализации в одном из технических этажей. Всё выглядит надёжно — до первого возгорания.»
Если вы взаимодействовали с Balancer в последние 72 часа:
Даже если вы не видите потерь, хакер мог оставить «бомбу замедленного действия» — контракт, который сможет забрать средства позже.
Атака на Balancer — удар не только по одному протоколу, но и по доверию к DeFi в целом. Особенно опасно то, что:
Это может запустить каскад вторичных эффектов: маржин-коллы, ликвидации и паника в смежных протоколах.
Команда Balancer уже:
Однако полное восстановление маловероятно. По предварительным оценкам, страховое покрытие (через Nexus Mutual и Sherlock) составляет не более $30–40 млн.
Инцидент с Balancer показывает, что безопасность в 2025 году требует нового подхода:
Потеря $116 млн — трагедия для пользователей. Но для индустрии это очередной шаг к зрелости. Каждый крупный хак выявляет слабые места и заставляет разработчиков думать глубже. Как сказал Виталик Бутерин: «Безопасность в DeFi — это не состояние. Это процесс постоянного улучшения.»
И пока сообщество учится на ошибках, DeFi будет становиться не просто быстрее и дешевле — но и надёжнее. Потому что в мире, где код — закон, единственный путь вперёд — это учиться, не останавливаясь.
