Exchange descentralizada Balancer foi vítima de um dos hacks de criptomoeda mais devastadores de 2025, com atacantes drenando aproximadamente $128 milhões em sete redes blockchain em um exploit sofisticado que contornou anos de auditorias de segurança e enviou ondas de choque pelo ecossistema DeFi.
A invasão, que começou nas primeiras horas de 3 de novembro, inicialmente parecia envolver cerca de $70 milhões em perdas, de acordo com a empresa de análise de blockchain Nansen. Em poucas horas, no entanto, pesquisadores de segurança da PeckShield revelaram a verdadeira escala do ataque: $128,64 milhões roubados nas redes Ethereum, Berachain, Arbitrum, Base, Sonic, Optimism e Polygon.
Os atacantes agiram rapidamente, transferindo 6.587 WETH no valor de $24,46 milhões, 6.851 osETH avaliados em $26,86 milhões e 4.260 wstETH no valor de $19,27 milhões para carteiras recém-criadas antes de começar a converter os derivativos de staking líquidos roubados em Ethereum. A plataforma de análise de blockchain Lookonchain relatou que o hacker começou imediatamente a trocar ativos roubados por ETH, levantando preocupações sobre possível lavagem através de mixers descentralizados ou pontes de cross-chain.
Análise Técnica: Como o Ataque Ocorreu
O exploit visou uma vulnerabilidade crítica nos Pools Composable Stable da Balancer V2, especificamente na função "manageUserBalance" do protocolo. De acordo com pesquisadores de segurança, a verificação de acesso falha permitiu que atacantes contornassem a autorização e executassem retiradas não autorizadas de saldos internos.
O analista de blockchain Adi explicou no X que "autorizações inadequadas e manipulação de callback permitiram ao atacante contornar salvaguardas, permitindo trocas não autorizadas ou manipulações de saldo em pools interconectados." O design componível do protocolo, onde vários pools interagem fortemente com liquidez compartilhada, ampliou a vulnerabilidade e permitiu que os hackers drenassem ativos rapidamente em várias cadeias dentro de minutos.
Ethereum foi a mais impactada pelas perdas, com aproximadamente $99 milhões roubados da rede. Berachain ficou em seguida com $12,86 milhões em perdas, levando seus validadores a parar a rede e executar um hard fork de emergência para recuperar fundos de usuários. Arbitrum perdeu $6,86 milhões, Base $3,9 milhões, Sonic $3,44 milhões, Optimism $1,58 milhões e Polygon $232,000.
Esforços Rápidos de Recuperação da StakeWise
Em uma rara história de sucesso em meio ao caos, o protocolo de staking líquido da Ethereum StakeWise anunciou que havia recuperado partes substanciais dos fundos roubados. Usando transações multisig de emergência, a DAO StakeWise recuperou com sucesso 5.041 osETH, no valor de aproximadamente $19 milhões e 13.495 osGNO avaliados em $1,7 milhão da carteira do explorador.
A recuperação representou 73,5% do osETH roubado e 100% dos tokens osGNO tomados no ataque. A StakeWise confirmou que os fundos recuperados seriam devolvidos aos usuários afetados com base na proporção de seus saldos pré-exploit. Os 26,5% restantes do osETH roubado, avaliados em cerca de $7 milhões, já haviam sido convertidos para ETH pelo atacante e não puderam ser recuperados.
A StakeWise enfatizou em uma declaração que seus contratos inteligentes principais e o token osETH permaneceram seguros, uma vez que a vulnerabilidade existia exclusivamente na infraestrutura da Balancer. A recuperação bem-sucedida suavizou ligeiramente os temores do mercado de que grandes quantidades de ETH inundariam o mercado, potencialmente estabilizando a perspectiva de preço de curto prazo do token.
Paradoxo da Auditoria: Como 11 Revisões Não Detectaram Falha Crítica
Talvez o mais preocupante do exploit da Balancer seja que ele ocorreu apesar de extensas precauções de segurança. Os contratos inteligentes da Balancer passaram por 11 auditorias abrangentes por quatro empresas de segurança líderes — OpenZeppelin, Trail of Bits, Certora e ABDK — com a auditoria mais recente dos stable pools conduzida pela Trail of Bits em setembro de 2022.
Suhail Kakar, desenvolvedor Web3 proeminente, observou que mesmo com o contrato do cofre principal da Balancer revisado por várias empresas independentes, o protocolo ainda sofreu uma violação significativa. O incidente reacendeu o debate dentro da comunidade cripto sobre se os modelos de auditoria tradicionais abordam adequadamente o cenário evolutivo de ameaças no DeFi.
Especialistas da indústria de empresas de forense blockchain observam que os hacks DeFi em 2025 já ultrapassaram $1 bilhão em perdas, com erros de controle de acesso respondendo por quase 40% dos incidentes. O caso da Balancer sugere que as revisões de código estáticos, mesmo quando conduzidas várias vezes, podem falhar em detectar vulnerabilidades sutis em sistemas Defi complexos e interconectados.
Impacto no Mercado e Resposta da Comunidade
O valor total bloqueado da Balancer despencou 46% de aproximadamente $770 milhões para $422 milhões, à medida que usuários apavorados retiraram fundos. O token de governança nativo BAL do protocolo caiu mais de 8% dentro de 24 horas para cerca de $0,91, embora algumas fontes relatem um declínio mais modesto de 5%.
O preço do Ethereum também sentiu o impacto, com o ETH sendo negociado entre $3.629-$3.714 em 4 de novembro, uma queda de 4-8% dos níveis pré-exploit. A venda refletiu uma incerteza de mercado mais ampla sobre vulnerabilidades de segurança DeFi e o potencial de explorações adicionais em protocolos interconectados.
A Balancer reconheceu o incidente em uma declaração postada no X, confirmando a consciência de "um potencial exploit impactando os pools Balancer v2." A equipe enfatizou que suas equipes de engenharia e segurança estavam investigando com alta prioridade e compartilharão atualizações verificadas à medida que informações se tornarem disponíveis.
Na tentativa de recuperar os fundos roubados, a Balancer ofereceu uma recompensa de hacker ético de 20% — aproximadamente $25,6 milhões — para o retorno de ativos dentro de 48 horas. A equipe alertou em uma mensagem on-chain que "nossos parceiros têm um alto grau de confiança de que você será identificado a partir de metadados de logs de acesso coletados por nossa infraestrutura," referindo-se a endereços IP e carimbos de data e hora supostamente vinculados às transações do hacker.
A História se Repete: Registro Histórico de Segurança Problemático da Balancer
Este marca a maior violação de segurança da Balancer até hoje, mas não a primeira. O protocolo experimentou pelo menos seis incidentes de segurança significativos desde seu lançamento em 2020, com uma média de aproximadamente uma violação significativa por ano.
Em junho de 2020, a Balancer perdeu $500,000 em um ataque de flash loan que explorou como o protocolo lidava com tokens deflacionários como Statera (STA). Em agosto de 2023, hackers drenaram aproximadamente $2,1 milhões de pools V2 ampliados através de uma vulnerabilidade de precisão, apenas uma semana após a Balancer ter divulgado uma "vulnerabilidade crítica" nesses mesmos pools.
No mês seguinte, em setembro de 2023, um ataque de sequestro de DNS redirecionou usuários da interface legítima da Balancer para um site de phishing, resultando em perdas de $238,000. Março de 2023 viu a Balancer indiretamente afetada pelo hack da Euler Finance, com a pool bbeUSD do protocolo perdendo $11,9 milhões.
Implicações Mais Amplas para a Segurança DeFi
O incidente da Balancer chega em um momento crítico para a finança descentralizada. Chainalysis relata que mais de $2 bilhões em criptomoedas foram roubados por hackers só na primeira metade de 2025, com grupos patrocinados pelo estado norte-coreano responsáveis por um estimado $1,65 bilhão desse total.
O ataque incitou discussões renovadas sobre os desafios de segurança fundamentais enfrentados pelos protocolos DeFi. Diferente das exchanges centralizadas que podem reverter transações fraudulentas ou congelar contas, plataformas descentralizadas operam em contratos inteligentes imutáveis. Conteúdo: contratos que, uma vez implantados, não podem ser facilmente modificados para corrigir vulnerabilidades.
Several blockchain networks took unprecedented action in response to the exploit. Os validadores da Berachain interromperam sua rede para realizar atualizações de emergência. Os validadores da Polygon censuraram transações de hackers. A Sonic introduziu uma funcionalidade para congelar e zerar a conta do hacker. Essas intervenções geraram debate dentro da comunidade cripto sobre a tensão entre os princípios de descentralização e as necessidades práticas de segurança.
O renomado comentarista de cripto Haseeb observou no X que "ecossistemas menores devem priorizar a segurança e a proteção da comunidade em vez de 'o código é lei'" — uma referência ao ethos tradicional da indústria cripto de que os resultados dos contratos inteligentes devem ser finais e irreversíveis, mesmo quando resultam de exploits.
Considerações finais
Para Balancer, essa violação representa um ponto crítico de inflexão. O protocolo havia resistido a tempestades anteriores e manteve sua posição como um dos jogadores estabelecidos do DeFi, com aproximadamente $355 milhões ainda bloqueados em 4 de novembro, apesar da queda dramática. A plataforma continua a processar um volume de negociação significativo, manipulando cerca de $2,81 bilhões mensais e gerando aproximadamente $10,7 milhões em receita anual.
No entanto, reconstruir a confiança dos usuários após um exploit de $128 milhões exigirá mais do que correções técnicas. A comunidade cripto exige cada vez mais transparência, comunicação rápida durante crises, e evidências concretas de que as vulnerabilidades de segurança foram abordadas de forma abrangente.
Observadores da indústria esperam que o incidente do Balancer acelere o escrutínio regulatório dos protocolos DeFi, particularmente nos Estados Unidos, onde as autoridades estão desenvolvendo novas estruturas para supervisão de finanças descentralizadas. O fato de a auditoria extensiva ter sido insuficiente para prevenir essa violação pode levar os reguladores a exigir salvaguardas adicionais, mecanismos de seguro ou estruturas de responsabilidade para as plataformas DeFi.
Por enquanto, os usuários do Balancer enfrentam decisões difíceis sobre se devem manter suas posições ou retirar-se para alternativas mais seguras. Pesquisadores de segurança continuam investigando o escopo completo da vulnerabilidade, enquanto equipes de perícia em blockchain trabalham com as autoridades para rastrear os fundos roubados. Se o hacker aceitará a oferta de recompensa white-hat do Balancer ou conseguirá lavar os fundos através de mixers e pontes cross-chain ainda está por ser visto.
O que é certo é que esse exploit adicionou mais um capítulo de cautela à história turbulenta do DeFi, lembrando tanto desenvolvedores quanto usuários que, nos sistemas financeiros de ponta da cripto, a segurança deve evoluir tão rapidamente quanto a própria tecnologia.