Balancer bị hack hơn 1.680 tỷ đồng do lỗi tính toán DeFi tinh vi

Balancer bị tấn công, thiệt hại hơn 1.680 tỷ đồng do lỗi tính toán trong cơ chế hoán đổi Defi

Theo báo cáo từ công ty bảo mật SlowMist ngày 3 (giờ địa phương), giao thức tài chính phi tập trung Balancer đã trở thành nạn nhân của một cuộc tấn công phức tạp, gây thiệt hại lên tới khoảng 168 tỷ won (tương đương hơn 1.680 tỷ đồng). Vụ việc xuất phát từ một lỗ hổng nghiêm trọng trong tính toán số học cố định, cho phép kẻ tấn công thao túng giá trị và rút được lượng tài sản khổng lồ từ hệ thống.

Cụ thể, cuộc tấn công nhằm vào Balancer v2, phiên bản thứ hai của nền tảng tạo lập thị trường tự động trong lĩnh vực DeFi. Kẻ tấn công đã lợi dụng sai số trong quá trình xử lý “tính toán số học số nguyên ở định dạng cố định (integer fixed-point arithmetic)” — một thành phần then chốt của tổ hợp thanh khoản định hình (Composable Stable Pool, viết tắt là CSP), vốn dùng để ghép cặp các tài sản có tỷ lệ gần 1:1 như USD Coin(USDC)/Tether(USDT) và Ethereum(WETH)/stETH. Sự không chính xác trong yếu tố quy đổi (scaling factor) đã tạo điều kiện dẫn đến sai lệch giá trị ngay từ khâu định giá.

Điểm đặc biệt của cuộc tấn công là kẻ thủ ác đã sử dụng chiến lược vô cùng tinh vi: tiến hành một loạt hoán đổi nhỏ với tần suất cao để dần tích lũy sự chênh lệch phát sinh từ lỗi làm tròn. Trong giai đoạn đầu, kẻ tấn công rút thanh khoản bằng cách trao đổi Balancer Protocol Token (BPT), rồi lặp đi lặp lại các giao dịch giữa osETH và WETH—hai tài sản có tỷ lệ giá sát nhau. Nhờ khéo léo điều chỉnh kết quả hoán đổi, hắn liên tục nhận được nhiều tài sản hơn số đã bỏ ra. Quá trình này được tự động hóa nhằm tối đa hóa hiệu quả và che giấu dấu vết.

Theo phân tích của SlowMist, vụ tấn công không chỉ là dò lỗi thông thường mà còn tận dụng kết cấu hệ thống — từ thuật toán hoán đổi cho đến logic xác lập giá trị. Khi lượng sai số tích tụ đến mức đáng kể, kẻ tấn công đã trục lợi bằng cách “rút vượt” tài sản thực tế có trong pool. Ngay sau đó, số tiền mã hóa đánh cắp như Ethereum(ETH) và Wrapped Ethereum(WETH) được nhanh chóng rửa tiền thông qua các giao thức như Tornado Cash, kết hợp trung gian, chuyển xuyên chuỗi và phân tán đến nhiều ví trên mạng Ethereum.

Để đối phó, Balancer đã lập tức tạm dừng hoạt động của CSPv6 pool, vô hiệu hóa nhà máy pool (pool factory) và kích hoạt kế hoạch phục hồi khẩn cấp để đảm bảo các nhà cung cấp thanh khoản chính có thể rút tiền an toàn. Ngoài ra, nền tảng này cũng hợp tác với các hacker mũ trắng và đối tác an ninh để tìm cách phong tỏa tài sản bị đánh cắp. Tính đến thời điểm hiện tại, Balancer đã đóng băng được khoảng 19 triệu đô la (~255 tỷ đồng) dưới dạng StakeWise osETH và khoảng 2 triệu đô la (~27 tỷ đồng) bằng osGNO.

Đáng chú ý, Balancer còn đưa ra ưu đãi trả thưởng 20% giá trị tài sản như một chương trình "bug bounty" nếu hacker tự nguyện hoàn trả tiền. Tuy nhiên, đến nay chưa có phản hồi từ phía kẻ tấn công.

SlowMist nhận định rằng điểm yếu của Balancer xuất phát từ việc thiếu thử nghiệm trong các điều kiện biên và tình huống cực đoan — một lỗi phổ biến trong thiết kế nhiều giao thức DeFi. Những dự án có kiến trúc tương tự cần đặc biệt lưu ý đến cách xử lý độ chính xác trong điều kiện thanh khoản thấp để tránh rơi vào tình cảnh tương tự.

Bình luận: Vụ tấn công Balancer là một lời nhắc nhở rõ ràng rằng trong thế giới DeFi, “sai số số học” dù nhỏ vẫn có thể dẫn đến hệ quả hàng triệu đô nếu kết hợp với chiến lược tấn công khôn ngoan. Đây không chỉ là vấn đề kỹ thuật, mà là bài học về tư duy phòng thủ toàn diện trong môi trường tài chính phi tập trung.

Từ vụ hack Balancer, giới đầu tư cần nâng cao cảnh giác và các nhà phát triển nên thường xuyên kiểm tra, mô phỏng số liệu trong các kịch bản bất lợi để đảm bảo tính an toàn. Điều này đặc biệt quan trọng khi thị trường ngày càng có nhiều tài sản hoán đổi theo tỷ lệ cố định, nơi mà “độ chính xác” và “minh bạch” là xương sống của niềm tin.

Từ khóa: “Balancer”, “DeFi”, “cuộc tấn công”, “lỗi tính toán”, “Ethereum”