Le hack de Balancer de 234 000 $, et la famille de bugs DeFi ne peuvent pas être retirés.

Le 31 août, quelqu’un a vidé un puits de liquidité de Balancer d’environ$234,000Il suffit de déposer l’équivalent d’un satoshi de WBTC pour obtenir des actifs tels que DPI, USDC, WETH et WBTC. Un dépôt si insignifiant est suffisant pour…4 408,8 tokens de pool MintSelon la société de sécurité SlowMist, l’attaquant a ensuite échangé ces actifs contre les actifs réels du pool.

C’est tentant de classer cela dans la catégorie des “petites choses”, où les cryptos restent simplement des cryptos. La résistance est justement ce qui compte. Derrière le titre à six chiffres se cache précisément le problème qui a fait perdre plus de 120 millions de dollars à Balancer en novembre – et quatre mois plus tard, cet problème a contribué à la faillite de l’entreprise qui avait développé ce protocole. L’édition de 2026 est donc petite. Le mécanisme en question n’est pas nouveau, et le fait qu’il soit toujours en fonctionnement montre bien où réside le risque dans le domaine de DeFi. Laissez-moi vous montrer la chaîne.

Comment un piscin est acheté pour un satoshi

Les pools originaux de Balancer effectuent toutes leurs calculs avec 18 décimales. Le WBTC, le token Bitcoin enveloppé qui est ciblé, dispose de 8. Habitualement, ce décalage est un simple effet de arrondi que personne ne remarque. Mais l’attaquant a réduit la réserve de WBTC du pool à zéro, en utilisant des prêts rapides empruntés auprès de Spark, Aave, Morpho et Uniswap V3. Une fois la réserve proche de zéro, le calcul inverse du contrat – qui permet de déterminer combien de tokens il faut déposer pour obtenir les tokens demandés – a arrondi la réponse à un seul satoshi. Les vérifications qui rejettent un dépôt de taille équivalente à un token n’étaient appliquées que dans d’autres parties du contrat, pas sur ce chemin.

Cet insecte vit dans Balancer V1.Codebase de 2020 qui est immuable – il ne peut pas être mis à jour – et non maintenu.Le Balancer est passé à la version V2 en 2021, puis à la version V3. Les contrats de la version V1 restent sur la chaîne blockchain, conservant ainsi l’argent que les utilisateurs avaient encore dans ces contrats. Comme c’est l’un des projets d’infrastructure DeFi qui a été le plus divisé en versions différentes, les mécanismes de joining/exit utilisés par ce projet se retrouvent également dans les pools d’autres projets. Les chercheurs en sécurité ont souligné que ces mécanismes étaient vulnérables. Plus tôt cette année, des clones du code de Balancer sur Polygon ont été touchés dans un autre incident.

Ce n’était pas non plus un problème secret. Les chercheurs en sécurité ont souligné cela.Problème sur GitHub datant de janvier 2020Cela décrit essentiellement ce mode de défaillance : des jetons à nombre de décimales faible, avec des réserves insuffisantes, et des jetons émis trop cher. Les connaissances ne peuvent pas corriger un contrat immuable.

Trois coups, même famille

L’expression « même famille de bugs » joue vraiment un rôle important ici, car les problèmes liés au arrondi et à la précision ont touché Balancer trois fois.

• Août 2023.Une erreur de arrondi dans les pools boostés de V2 permet aux attaquants…Drain plus de 2 millions de dollars.Dans quelques jours à peine après la révélation de la vulnérabilité.
• 3 novembre 2025.Erreur de direction de arrondi dans les puits stables de V2 – le chemin d’échange “exact out” est arrondi de manière incorrecte.Il a coûté plus de 120 millions de dollars.En moins de trente minutes, à travers plusieurs chaînes. Les sociétés de sécurité…L’estimation la plus citée était de 128,6 millions de dollars.Les comptes de Balancer indiquent que les pertes totales s’élèvent à 121,1 millions de dollars.Le troisième plus grand piratage dans le domaine des DeFi en 2025.
• 31 août 2026.V1. 234 000 $.

Je les liste parce que l’intervalle est le message. Chaque correction protégeait la version pour laquelle elle était écrite, tout en laissant les problèmes restants exposés. Le bug de novembre était resté dans son code pendant des années ; une vérification qui aurait pu le détecter aurait pu…Mathématiques pertinentes explicitement hors champ d’application.V1 n’a jamais été corrigé du tout, car c’est impossible.

Ce grand mouvement de grève a eu un impact négatif sur l’entreprise.

L’attaque de novembre n’est pas simplement la cause de celle-ci. C’est aussi la raison pour laquelle il ne reste plus aucune entreprise qui puisse être appelée. La valeur totale des actifs bloqués a diminué.environ 775 millions de dollars à environ 300 millions de dollarsimmédiatement après cela. Au moment où l’unité de développement commerciale, Balancer Labs, a été dissoute en mars 2026, le TVL était en baisse d’environ…95 % à partir d’un pic en 2021 d’environ 3,5 milliards de dollars.— à environ 157 millions de dollars — tandis que le token de gouvernance de BAL était échangé à un prix procheDes minima historiques autour de 0,15 $.Avec une capitalisation boursière d’environ 10 millions de dollars. Le co-fondateur, Fernando Martinelli, a déclaré que l’entité commerciale était devenue un fardeau plutôt qu’un atout : cette exploitation avait créé des risques juridiques réels et persistants, et l’entreprise ne générait plus suffisamment de revenus pour justifier de continuer à la gérer.1 million de dollars en frais annuelssur le trimestre précédent.

Le plan de sauvetage était très direct : mettre fin complètement à la création de BAL ; dissoudre le programme de stockage de veBAL qui servait à alimenter ce que Martinelli appelait une économie de pots-de-vin circulaire ; transférer tous les frais de protocole au trésor public ; et racheter les tokens des détenteurs qui voulaient se retirer. Ce qui reste, c’est une structure réduite, où la fondation et le DAO placent leur avenir dans V3, l’architecture conçue pour résoudre ce problème de manière intégrée.Précision décimale 18, directions explicites de arrondiVérification formelle des échanges à double sens.

Qui est vraiment responsable des paiements ?

Maintenant, la partie qui compte le plus. Lorsque l’exploit de novembre a eu lieu, Balancer a compté environ45,7 millions des 121 millions de pertes.protégé ou récupéré par les équipes de sécurité, les fondations et les whitehats. Mais le plan que le DAO a soumis pour remettre de l’argent aux fournisseurs de liquidité affectés était bien plus limité – environ…8 millions de dollars, payés en mêmes tokens.Chaque pool par himself ; et cela ne s’applique qu’aux LP qui participent aux pools où les fonds sont réellement restitués, grâce à un processus de demande actif. Le reste des pertes se retrouve auprès des fournisseurs de liquidité, en proportion de leur part dans le pool, et ce, sans que ce soit de leur faute.

Pour le pool V1 qui a été vidé le 31 août, il n’y a même pas de programme à soumettre. Pas de possibilité d’amélioration, pas de partie responsable dans l’entreprise, pas d’assurance… L’exploit n’est qu’une transaction autorisée sur du code ancien. L’argent est disparu des contrats les plus anciens sur le réseau ; les copies de ces contrats se trouvent ailleurs, également non maintenues.

Le jugement

L’enseignement important est que six chiffres représentent une somme insignifiante dans le monde des cryptomonnaies. C’est l’inverse : la taille du vol de données indique où se trouve le capital vulnérable, et non si le code est dangereux ou non. Un vol de 234 000 dollars et un vol de 121 millions de dollars ne font qu’une seule et même erreur technique, mais avec des montants différents. Ce qui les distingue, c’est simplement que le petit vol concerne un code dont personne ne peut se protéger.

Cela change la question de la diligence requise pour ceux qui évaluent le BAL ou tout autre réservoir générant des revenus. La question ancienne était : « Est-ce que cet élément a été audité ? » La question plus pertinente est : « Peut-on corriger ce problème, et qui est responsable si ce n’est pas possible ? » Les audits ont ignoré cette série de problèmes pendant des années. Le code le plus ancien sur le réseau n’est pas le plus sûr – c’est plutôt celui qui est le plus exposé, justement parce qu’il ne peut pas être modifié. Le meilleur indicateur de la sécurité d’un réservoir n’est pas le nombre de fois où il a été vérifié. C’est plutôt le fait que quelqu’un continue à le maintenir… et ce qui se passe avec votre argent le jour où cette personne cesse de le faire.