O exchange descentralizado Balancer foi vítima de um dos mais devastadores hacks de cripto de 2025, com atacantes drenando aproximadamente $128 milhões através de sete redes blockchain em um exploit sofisticado que contornou anos de auditorias de segurança e causou um choque no ecossistema DeFi.
A violação, que começou nas primeiras horas de 3 de novembro, inicialmente parecia envolver cerca de $70 milhões em perdas, de acordo com a empresa de análise blockchain Nansen. No entanto, dentro de horas, os pesquisadores de segurança da PeckShield revelaram a verdadeira escala do ataque: $128,64 milhões roubados através das redes Ethereum, Berachain, Arbitrum, Base, Sonic, Optimism e Polygon.
Os atacantes agiram rapidamente, transferindo 6.587 WETH no valor de $24,46 milhões, 6.851 osETH avaliados em $26,86 milhões, e 4.260 wstETH no valor de $19,27 milhões para carteiras recém-criadas antes de começar a converter os derivados de staking líquido roubados em Ethereum. A plataforma de análise blockchain Lookonchain relatou que o hacker imediatamente começou a trocar os ativos roubados por ETH, levantando preocupações sobre uma potencial lavagem através de mixers descentralizados ou ponte cross-chain.
Análise Técnica: Como o Ataque Desdobrou-se
O exploit visou uma falha crítica nos Pools Estáveis Componíveis V2 do Balancer, especificamente dentro da função "manageUserBalance" do protocolo. De acordo com pesquisadores de segurança, a falha na checagem de acesso permitiu que atacantes contornassem a autorização e executassem saques não autorizados de saldos internos.
Analista on-chain Adi explicou no X que "a autorização imprópria e o manuseio de callbacks permitiram ao atacante contornar as proteções, possibilitando trocas não autorizadas ou manipulações de saldos através de pools interconectados." O design componível do protocolo, onde múltiplos pools interagem fortemente com liquidez compartilhada, ampliou a vulnerabilidade e permitiu que hackers drenassem ativos rapidamente através de múltiplas chains em questão de minutos.
Ethereum sofreu a maior parte das perdas, com aproximadamente $99 milhões roubados da rede. Berachain seguiu com $12,86 milhões em perdas, levando seus validadores a parar a rede e executar um hard fork de emergência para recuperar fundos de usuários. Arbitrum perdeu $6,86 milhões, Base $3,9 milhões, Sonic $3,44 milhões, Optimism $1,58 milhões, e Polygon $232,000.
StakeWise Inicia Esforço de Recuperação Rápida
Em uma rara história de sucesso em meio ao caos, o protocolo de staking líquido de Ethereum StakeWise anunciou que recuperou porções substanciais dos fundos roubados. Usando transações multisig de emergência, o DAO do StakeWise recuperou com sucesso 5.041 osETH no valor de aproximadamente $19 milhões e 13.495 osGNO avaliados em $1,7 milhão da carteira do explorador.
A recuperação representou 73,5% do osETH roubado e 100% dos tokens osGNO tomados no ataque. O StakeWise confirmou que os fundos recuperados seriam devolvidos aos usuários afetados numa base pro-rata de acordo com seus saldos pré-exploit. Os 26,5% restantes do osETH roubado, no valor estimado de $7 milhões, já foram convertidos em ETH pelo atacante e não puderam ser recuperados.
StakeWise enfatizou em uma declaração que seus contratos inteligentes principais e o token osETH permaneceram seguros, já que a vulnerabilidade existia unicamente dentro da infraestrutura do Balancer. A recuperação bem-sucedida aliviou levemente os temores do mercado de que grandes quantidades de ETH inundariam o mercado, potencialmente estabilizando a perspectiva de preço de curto prazo do token.
O Paradoxo da Auditoria: Como 11 Revisões Deixaram uma Falha Crítica Passar
Talvez o mais preocupante sobre o exploit do Balancer é que ocorreu apesar de extensivas precauções de segurança. Os contratos inteligentes do Balancer passaram por 11 auditorias abrangentes por quatro das principais empresas de segurança — OpenZeppelin, Trail of Bits, Certora, e ABDK — com a auditoria mais recente do pool estável realizada pela Trail of Bits em setembro de 2022.
Suhail Kakar, um desenvolvedor Web3 proeminente, observou que mesmo com o contrato de vault principal do Balancer revisado por múltiplas empresas independentes, o protocolo ainda sofreu uma brecha significativa. O incidente reacendeu o debate dentro da comunidade cripto sobre se os modelos tradicionais de auditoria abordam adequadamente o panorama de ameaças em evolução no DeFi.
Especialistas da indústria de empresas de forense blockchain observam que os hacks DeFi em 2025 já superaram $1 bilhão em perdas, com erros de controle de acesso respondendo por quase 40% dos incidentes. O caso do Balancer sugere que revisões de código estático, mesmo quando conduzidas múltiplas vezes, podem falhar em capturar vulnerabilidades sutis em sistemas DeFi complexos e interconectados.
Impacto no Mercado e Resposta da Comunidade
O valor total bloqueado do Balancer despencou 46% de aproximadamente $770 milhões para $422 milhões à medida que usuários em pânico retiravam fundos. O token de governança nativo do protocolo, BAL, caiu mais de 8% dentro de 24 horas para cerca de $0,91, embora algumas fontes relatem um declínio mais modesto de 5%.
O preço do Ethereum também sentiu o impacto, com o ETH sendo negociado entre $3.629-$3.714 em 4 de novembro, uma queda de 4-8% dos níveis pré-exploit. A venda refletiu a incerteza mais ampla do mercado sobre vulnerabilidades de segurança DeFi e o potencial para exploits adicionais através de protocolos interconectados.
O Balancer reconheceu o incidente em uma declaração postada no X, confirmando a consciência de "um potencial exploit impactando os pools v2 do Balancer." A equipe enfatizou que suas equipes de engenharia e segurança estavam investigando com alta prioridade e compartilharia atualizações verificadas assim que informações estivessem disponíveis.
Em uma tentativa de recuperar os fundos roubados, Balancer ofereceu uma recompensa white-hat de 20% — aproximadamente $25,6 milhões — para retorno dos ativos em 48 horas. A equipe alertou em uma mensagem on-chain que "nossos parceiros têm um alto grau de confiança que você será identificado a partir de metadados de registros de acesso coletados por nossa infraestrutura," fazendo referência a endereços IP e carimbos de tempo supostamente ligados às transações do hacker.
História se Repete: Histórico Problemático de Segurança do Balancer
Este é o maior ataque de segurança até hoje no Balancer, mas está longe de ser o primeiro. O protocolo experimentou pelo menos seis grandes incidentes de segurança desde seu lançamento em 2020, com uma média de aproximadamente uma grande violação por ano.
Em junho de 2020, Balancer perdeu $500,000 em um ataque de empréstimo relâmpago que explorou como o protocolo lidou com tokens deflacionários como Statera (STA). Em agosto de 2023, hackers drenaram aproximadamente $2,1 milhões de pools V2 impulsionados através de uma vulnerabilidade de precisão, apenas uma semana após o Balancer ter divulgado uma "vulnerabilidade crítica" nesses mesmos pools.
No mês seguinte, em setembro de 2023, um ataque de sequestro de DNS redirecionou usuários do frontend legítimo do Balancer para um site de phishing, resultando em $238.000 em perdas. Em março de 2023, o Balancer foi indiretamente afetado pelo hack Euler Finance, com o pool bbeUSD do protocolo perdendo $11,9 milhões.
Implicações Mais Amplas para a Segurança DeFi
O incidente do Balancer chega em um momento crítico para as finanças descentralizadas. Relatórios da Chainalysis indicam que mais de $2 bilhões em criptomoeda foram roubados por hackers apenas no primeiro semestre de 2025, com grupos patrocinados pelo Estado Norte-coreano responsáveis por um total estimado de $1,65 bilhão.
O ataque gerou uma discussão renovada sobre os desafios de segurança fundamentais enfrentados pelos protocolos DeFi. Ao contrário dos exchanges centralizados que podem reverter transações fraudulentas ou congelar contas, plataformas descentralizadas operam em contratos inteligentes imutáveis. Conteúdo: contratos que, uma vez implantados, não podem ser facilmente modificados para corrigir vulnerabilidades.
Várias redes blockchain tomaram medidas sem precedentes em resposta ao ataque. Validadores da Berachain interromperam sua rede para realizar atualizações de emergência. Validadores da Polygon censuraram transações de hackers. Sonic introduziu funcionalidades para congelar e zerar a conta do hacker. Essas intervenções geraram debate dentro da comunidade cripto sobre a tensão entre os princípios de descentralização e as necessidades práticas de segurança.
O comentarista cripto proeminente Haseeb observou no X que "ecossistemas menores devem priorizar segurança e proteção da comunidade em detrimento do 'código é lei'" — uma referência ao ethos tradicional da indústria cripto de que os resultados dos contratos inteligentes devem ser finais e irreversíveis, mesmo quando resultam de explorações.
Considerações finais
Para o Balancer, essa violação representa um ponto de inflexão crítico. O protocolo tinha resistido a tempestades anteriores e mantido sua posição como um dos jogadores estabelecidos do DeFi, com aproximadamente $355 milhões ainda bloqueados em 4 de novembro, apesar do declínio dramático. A plataforma continua processando um volume significativo de negociações, movimentando cerca de $2.81 bilhões mensalmente e gerando aproximadamente $10.7 milhões em receita anual.
No entanto, reconstruir a confiança do usuário após um ataque de $128 milhões exigirá mais do que correções técnicas. A comunidade cripto exige cada vez mais transparência, comunicação rápida durante crises e evidências concretas de que as vulnerabilidades de segurança foram abrangentemente tratadas.
Observadores da indústria esperam que o incidente do Balancer acelere o escrutínio regulatório dos protocolos DeFi, particularmente nos Estados Unidos, onde as autoridades estão desenvolvendo novas estruturas para a supervisão das finanças descentralizadas. O fato de uma auditoria extensa ter sido insuficiente para evitar essa violação pode levar os reguladores a exigir salvaguardas adicionais, mecanismos de seguro ou estruturas de responsabilidade para as plataformas DeFi.
Por enquanto, os usuários do Balancer enfrentam decisões difíceis sobre manter suas posições ou retirar-se para alternativas mais seguras. Pesquisadores de segurança continuam investigando todo o alcance da vulnerabilidade, enquanto equipes de forense blockchain trabalham com a aplicação da lei para rastrear os fundos roubados. Se o hacker aceitará a oferta de recompensa white-hat do Balancer ou conseguirá lavar os fundos através de mixers e pontes cross-chain ainda é uma incógnita.
O que é certo é que esse ataque adicionou mais um capítulo de alerta à história turbulenta do DeFi, lembrando tanto desenvolvedores quanto usuários de que, nos sistemas financeiros de ponta do cripto, a segurança deve evoluir tão rapidamente quanto a própria tecnologia.