Balancer tiết lộ hack 128 triệu USD, TVL rơi 58% vì lỗi làm tròn V2

Balancer xác nhận lỗi làm tròn trong V2 Composable Stable Pools dẫn đến vụ khai thác 128 triệu USD trên bảy blockchain, với cơ chế thao túng batch swap làm lệch cân bằng pool và rút thanh khoản.

TVL của Balancer giảm 58%, từ 442,96 triệu USD xuống 186,09 triệu USD chỉ trong hai ngày. Dù vậy, V3 không bị ảnh hưởng, nỗ lực thu hồi đã đạt 33 triệu USD và các đối tác như Berachain, StakeWise bắt đầu hoàn tiền cho người dùng.

Balancer xác nhận lỗi làm tròn trong V2 gây ra vụ khai thác 128 triệu USD

Ngày 5 tháng 11, Balancer công bố báo cáo sơ bộ, xác nhận lỗi làm tròn trong V2 Composable Stable Pools là nguyên nhân giúp kẻ tấn công thao túng batch swap và rút 128 triệu USD trên bảy blockchain. Nguồn: Balancer, X, 5 tháng 11.

Lỗi kỹ thuật khiến phép tính số dư trong chuỗi giao dịch gộp bị sai lệch, cho phép kẻ tấn công thay đổi cân bằng pool để chiết xuất giá trị. Balancer cho biết họ phát hiện nhanh, tạm dừng pool dễ tổn thương chỉ trong vài phút để hạn chế lan rộng.

Trong khi V2 bị ảnh hưởng, toàn bộ V3 không bị tác động, củng cố giá trị của hạ tầng mới. Báo cáo điều tra chi tiết và lộ trình hoàn trả cho người dùng V2 sẽ được công bố tiếp theo. Nguồn: Balancer, X.

Lỗi làm tròn trong V2 Composable Stable Pools là gì?

Đó là sai số khi quy đổi và làm tròn trong tính toán số dư và giá trong các giao dịch batch swap, tạo ra chênh lệch nhỏ nhưng tích lũy đủ lớn để rút thanh khoản vượt quá cân bằng thực tế.

Trong mô hình stable pool, các công thức định giá dựa vào trạng thái pool. Khi làm tròn sai, kẻ tấn công có thể sắp xếp chuỗi hoán đổi nhằm tận dụng lệch giá lặp lại, khiến giá trị ảo tăng theo từng bước và rút được tài sản thật.

Vì batch swap xử lý đa bước trong một giao dịch, sai số lan truyền làm méo mô hình định giá. Đây là lý do các hệ thống AMM hiện đại phải kiểm thử biên và xác minh hình thức để phát hiện sai số tích lũy.

Nỗ lực khôi phục cho thấy tiến độ tích cực

Đến hiện tại, các đội mũ trắng đã thu hồi 33 triệu USD. Berachain thực hiện hard fork để clawback 12,8 triệu USD và đã bắt đầu hoàn trả. StakeWise cũng tự thu hồi 20 triệu USD. Nguồn: Balancer, StakeWise, Berachain.

Tốc độ phản ứng giúp ngăn thất thoát lớn hơn, theo đánh giá của Balancer. Việc Berachain triển khai hard fork cho thấy sự phối hợp hạ tầng chuỗi nhằm đảo giao dịch ở mức giao thức khi cần thiết và được đồng thuận.

Bên cạnh đó, Balancer thông báo sẽ công bố post-mortem toàn diện, gồm quy trình đền bù và bước khắc phục cho người dùng V2. Thông tin chi tiết đang được chuẩn bị để đảm bảo công bằng và minh bạch.

Cuộc tấn công tập trung vào Ethereum, lan sang 6 mạng khác

Ethereum chịu thiệt hại lớn nhất với 99 triệu USD bị rút. Các pool trên Base, Polygon, Arbitrum, Optimism, Sonic và Avalanche cũng bị khai thác qua thao túng batch swap.

Việc nhắm vào nhiều mạng cho thấy kẻ tấn công hiểu thống nhất kiến trúc V2 trên các chuỗi. Dù vậy, cơ chế tạm dừng khẩn cấp giúp đóng băng thiệt hại tiếp theo, ngăn rủi ro dây chuyền sang các pool không bị ảnh hưởng.

Phân tán trên nhiều mạng làm tăng độ phức tạp khi thu hồi, nhưng cũng mở ra khả năng phối hợp với từng hệ sinh thái để truy vết, đàm phán và thu hồi như trường hợp Berachain.

Vì sao V3 không bị ảnh hưởng?

V3 vận hành trên nền tảng kiến trúc mới, không gặp lỗi làm tròn như V2 Composable Stable Pools, và không có pool V3 nào bị tác động trong toàn bộ sự cố.

Điều này củng cố trường hợp di trú sang V3 là cần thiết để giảm bề mặt tấn công. V3 có các biện pháp kiểm soát rủi ro tốt hơn và quy trình cập nhật mã chặt chẽ, theo thông tin nhấn mạnh từ đội ngũ Balancer.

Trong bối cảnh thị trường ưu tiên an toàn hợp đồng thông minh, việc V3 đứng vững giúp duy trì niềm tin, dù hệ sinh thái vẫn cần cập nhật, kiểm toán sâu và diễn tập sự cố thường xuyên.

TVL sụt giảm 58%, thiệt hại uy tín vượt quá khoản bị rút

TVL của Balancer giảm từ 442,96 triệu USD ngày 3 tháng 11 xuống 186,09 triệu USD hiện tại, tương đương mức giảm 58 % chỉ trong hai ngày. Nguồn: DefiLlama.

Đồ thị TVL ghi nhận cú rơi dựng đứng đúng thời điểm khai thác, xóa sạch nhiều tháng ổn định quanh 450 đến 600 triệu USD. Trước đó, TVL đã giảm từ hơn 1 tỷ USD hồi tháng 1 năm 2025, và sự cố đẩy mạnh xu hướng đi xuống.

Tác động TVL lớn hơn đáng kể so với khoản bị rút 128 triệu USD, phản ánh tâm lý phòng thủ của thanh khoản và nhà cung cấp LP. Việc khôi phục niềm tin sẽ phụ thuộc vào tốc độ di trú, đền bù và nâng cấp an toàn.

Phản ứng thị trường và chiến lược di trú sang V3 củng cố niềm tin

Token BAL giảm khoảng 6 % sau sự cố rồi ổn định, trong khi TVL giảm mạnh hơn. Diễn biến này cho thấy thị trường kỳ vọng kế hoạch di trú V3 sẽ phục hồi dài hạn.

Balancer thúc đẩy di trú sang V3, đồng thời cảnh báo người dùng về các tin nhắn lừa đảo lợi dụng sự cố. Đội ngũ cam kết nâng cấp mã và tiến hành kiểm toán sâu nhằm ngăn lặp lại lỗ hổng tương tự.

Dòng vốn có thể dịch chuyển tạm thời nhưng sẽ quay lại nếu cơ chế quản trị rủi ro được chứng minh hiệu quả qua minh bạch post-mortem, lịch đền bù rõ ràng và lộ trình kỹ thuật nhất quán.

Bài học an toàn: quy trình kiểm thử và quản trị rủi ro phải ưu tiên tuyệt đối

Sai số làm tròn cho thấy những lỗi nhỏ có thể gây hậu quả lớn khi kết hợp với batch swap nhiều bước. Kiểm thử biên, mô phỏng MEV và xác minh hình thức là then chốt để khóa các điểm yếu tích lũy.

Ở cấp độ vận hành, cơ chế tạm dừng nhanh, giám sát on-chain thời gian thực và diễn tập phản ứng sự cố giúp giảm thiệt hại. Ở cấp độ cộng đồng, cảnh báo lừa đảo và kênh thông tin chính thức giúp bảo vệ người dùng trong thời điểm nhạy cảm.

Di trú sang V3 và nâng cấp kiểm toán là bước đi đúng, nhưng thành công phụ thuộc vào tốc độ triển khai và truyền thông minh bạch với LP, đối tác và người dùng cuối.

Những câu hỏi thường gặp

Vụ khai thác Balancer xảy ra do đâu?

Lỗi làm tròn trong V2 Composable Stable Pools cho phép kẻ tấn công thao túng batch swap, làm lệch trạng thái pool và rút 128 triệu USD trên bảy blockchain. Nguồn: Balancer, X, 5 tháng 11.

Những mạng nào bị ảnh hưởng nặng nhất?

Ethereum thiệt hại lớn nhất với khoảng 99 triệu USD, ngoài ra còn Base, Polygon, Arbitrum, Optimism, Sonic và Avalanche. Nguồn: báo cáo sơ bộ Balancer.

V3 có bị ảnh hưởng hay không?

Không. V3 không bị tác động trong toàn bộ sự cố. Balancer xác nhận các pool V3 an toàn, là cơ sở để thúc đẩy di trú từ V2.

TVL giảm bao nhiêu và ý nghĩa là gì?

TVL giảm 58 %, từ 442,96 triệu USD xuống 186,09 triệu USD trong hai ngày, phản ánh rút vốn phòng thủ và tác động lan tỏa vượt thiệt hại trực tiếp. Nguồn: DefiLlama.

Việc thu hồi và hoàn trả diễn ra thế nào?

Đã thu hồi 33 triệu USD, gồm 12,8 triệu USD nhờ hard fork của Berachain và 20 triệu USD từ StakeWise. Kế hoạch chi tiết cho người dùng V2 sẽ có trong post-mortem.

Lưu ý: Nội dung bài viết chỉ nhằm cung cấp thông tin, không phải khuyến nghị đầu tư. Vui lòng tự nghiên cứu kỹ lưỡng trước khi đưa ra quyết định. Chúng tôi không chịu trách nhiệm đối với mọi kết quả phát sinh từ quyết định đầu tư của bạn.