Ketika Audit Tidak Cukup: Peretasan Balancer Mengungkap Titik Buta DeFi

Pasar kripto baru saja menerima panggilan bangun yang keras. Pada hari Senin, penyerang menguras lebih dari $120 juta dari Balancer—sebuah DEX yang telah ada sejak awal era DeFi—dengan mengeksploitasi kerentanan pembulatan presisi dalam kontrak Vault-nya.

Ini yang membuat ini mengkhawatirkan: Balancer telah melewati lebih dari 10 audit. Vault itu sendiri telah ditinjau 3 kali oleh firma yang berbeda. Namun, penyerang masih menemukan cara untuk menerobos.

Eksploitasi Teknikal

Menurut analisis GoPlus Security, peretasan ini berhasil melalui cacat yang tampaknya sepele: kesalahan pembulatan dalam perhitungan swap. Setiap operasi dibulatkan ke bawah, secara bertahap mendistorsi harga token. Fungsi batchSwap kemudian memperbesar kerentanan ini dengan memungkinkan penyerang untuk mengaitkan transaksi secara strategis. Serangan presisi klasik—jenis yang kadang-kadang terlewatkan oleh perusahaan keamanan karena terlalu sederhana untuk menjadi jelas.

Balancer menjelaskan bahwa hanya V2 Composable Stable Pools yang terpengaruh ( bukan V3), dan mereka telah menghentikan kolam yang terpengaruh. Namun, kerusakan sudah terjadi.

Reaksi Pasar

Gelombang kejut menyerang dengan keras:

• Kapitalisasi pasar turun 3,2% di seluruh cryptocurrency utama (BTC, ETH, XRP, BNB, SOL memimpin kerugian)
• $1,23 miliar dalam likuidasi mengalir melalui pasar derivatif ($1,1B likuidasi panjang + $128,4M likuidasi pendek)

Stakewise berhasil memulihkan lebih dari $20 juta dana yang dicuri melalui dompet multisig, dan Lookonchain melacak penyerang yang terus-menerus mengonversi ETH—tetapi kerusakan kepercayaan menyebar lebih cepat daripada upaya pemulihan.

Gambaran Besar

Ryan Sean Adams dari Bankless menangkap sentimen: “Jika itu terjadi pada Balancer, itu bisa terjadi pada apa pun.”

Beberapa L1 merespons secara agresif—validator Berachain menghentikan jaringan, Sonic mempersiapkan fungsi pembekuan. Namun itu menimbulkan kekhawatiran yang berbeda: jika validator dapat secara sepihak menghentikan transaksi, seberapa “terdesentralisasi” sebenarnya blockchain?

Peretasan ini mengungkapkan kebenaran yang tidak nyaman: audit menangkap bug yang jelas, bukan kasus pinggir. Sebuah pool yang sudah aktif selama bertahun-tahun tidak berarti aman—hanya saja belum ada yang mengujinya dengan cara yang benar.

Kepercayaan komunitas DeFi mengalami penurunan. Tetapi ini juga mengingatkan semua orang: keamanan adalah proses yang berkelanjutan, bukan centang sekali.