バランサーV2攻撃の予備的分析

11月3日、Balancer V2プロトコルとそのフォークプロジェクトが複数のチェーンで攻撃を受け、1億2000万ドル以上の深刻な損失につながった。BlockSecは最初に警告を発し[1]、初期分析と結論を出した[2]。これは非常に巧妙な攻撃でした。私たちの予備的な分析によると、根本的な原因は、攻撃者がBPT (Balancer Pool Token ) --別名oolのLPトークン -- の価格計算を歪めるために不変量を操作し、安定したプール上のバッチスワップ操作で使用できるようにしたことです。単一のバッチスワップ操作で安定したプールを使用できます。

背景

1.スケーリングと丸め

1.四捨五入

異なるトークンの小数点以下の桁数を標準化するために、バランサー契約は以下のようになります:

• 1.

  アップスケール：計算を行う前に、バランスと金額を内部で統一された精度にスケールします。downscale:指示された四捨五入で結果をネイティブな精度に戻します(例えば、プールが過少に収集されないように、入力は通常上方へ四捨五入されます;出力パスはしばしば下方へ切り捨てられます)。

結論: 同じトランザクション内の異なるセグメントで使用される非対称の丸め方向は、非常に小さなステップで繰り返し実行されると、系統的に小さな偏差になる可能性があります。

2.DとBPTの価格

この攻撃の影響を受けているのは、以下のプロトコルです。バランサーV2のプロトコルである コンポーザブル・ステーブル・プール [3]やフォークのプロトコルである。安定したプールは、1:1の変換比率に近い状態で維持される（または既知の為替レートで変換される）と予想される資産によって使用され、大きな価格ショックを受けることなく大規模な変換を行うことができ、それによって類似または関連する資産間の資本利用の効率を大幅に向上させます。

• このプールでは、Stable Math（曲線ベースのStableSwapモデル）を使用しています。はプールの「総仮想値」を表します。

• BPT（プールのLPトークン）価格は、次のように近似されます。

BPTの方が安い。 BTPは、流動性を引き出すときにプールのどれだけの量を取得できるかを計算するために使用されるプールのシェアを表します。BTPはプールのシェアを表し、流動性を引き出す際にプールをどれだけ確保できるかを計算するために使用されます。したがって、攻撃者がより多くのBPTを得ることができれば、流動性を引き出す際に利益を上げることになります。

攻撃分析

フェーズ1：攻撃者はBPTを原資産に変換し、次のようにします。トークン(cbETH)の残高を丸め境界の閾値(number = 9)に正確に合わせる。このステップは、精度損失の次のステージの舞台を整えます。

フェーズ2: 攻撃者は、慎重に構築された量（= 8）を使用して、別の原資産（wstETH）とcbETHをスワップします。トークン数をスケーリングする際に四捨五入するため、計算されたΔxはわずかに小さくなり（8.918から8へ）、Δyの過小評価につながり、不変量D（CurveのStableSwapモデルによる）を小さくします。BPT価格 = D / totalSupplyなので、BPT価格は人為的に低くなります。

第3段階：攻撃者は原資産をBPTに戻し、プールのバランスを回復させながら、下落したBPT価格から利益を得ます。span text="">profitable transactionを活用して流動性を引き出し、余ったBPTを使ってプール内の他の原資産（cbETHとwstETH）にアクセスして利益を得ます

攻撃取引:

https://app.blocksec.com/explorer/tx/arbitrum/0x7da32ebc615d0f29a24cacf9d18254bea3a2c730084c690ee40238b1d8b55773

儲かるトレード:

https://app.blocksec.com/explorer/tx/arbitrum/0x4e5be713d986bcf4afb2ba7362525622acf9c95310bd77cd5911e7ef12d871a9

Reference:

[1] https://x.com/Phalcon_xyz/status/1985262010347696312

[2] https://x.com/Phalcon_xyz/status/1985302779263643915

[3] https://docs-v2.balancer.fi/concept/pools/composable-stable.html