# Balancer V2 bị hack nghiêm trọng: $128 triệu USD bị rút sạch chỉ trong vài giờ

Sáng hôm qua theo giờ Việt Nam, dự án DeFi lâu năm Balancer đã bị hacker tấn công, cuỗm mất $128 triệu USD. Thủ đoạn của hacker cực kỳ tinh vi – kẻ tấn công đã lợi dụng lỗ hổng trong hợp đồng thông minh để qua mặt các bước kiểm tra an toàn, triển khai hợp đồng độc hại và tạo token giả, thao túng chính xác giá trong các pool thanh khoản. Chỉ với vài giao dịch, hắn đã khuếch đại sai số làm tròn thành chênh lệch giá khổng lồ, rút cạn toàn bộ tiền ra khỏi pool.

**Tài sản bị rút nhiều nhất**: 6.587 WETH ($24,5 triệu), 6.851 osETH ($26,9 triệu), 4.260 wstETH ($19,3 triệu).

**Ảnh hưởng đa chuỗi rất rộng**: Ethereum thiệt hại $99 triệu (nặng nhất), Berachain $12,86 triệu, Arbitrum $6,86 triệu, Base $3,9 triệu, Sonic $3,44 triệu. Đáng chú ý, validator của Berachain đã dừng toàn bộ chuỗi, hard fork để hoàn tác giao dịch nhằm bảo vệ tài sản, động thái này đã gây tranh cãi lớn về tính tập trung trong cộng đồng.

**Đau nhất là**: Bộ code Balancer V2 đã được audit hơn 10 lần (2021-2023) bởi các công ty bảo mật top đầu như OpenZeppelin, Trail of Bits, Certora,... nhưng vẫn không phát hiện ra lỗ hổng này. Một số researcher mỉa mai: “Audit 10 lần mà vẫn bị hack $110 triệu, giới crypto nên chấp nhận rằng 'đã được audit' gần như vô nghĩa.”

**Phản ứng thị trường cực nhanh**: Token BAL lao dốc 11,1% còn $0,87, TVL của giao thức từ $776 triệu tụt xuống $406 triệu, niềm tin người dùng sụp đổ. Đội ngũ Balancer treo thưởng 20% ($25,6 triệu) cho hacker nếu trả lại toàn bộ tài sản, hạn chót trong 48 giờ. Tuy vậy, phía StakeWise đã tự lấy lại được $19 triệu osETH và $1,7 triệu osGNO, tương đương thu hồi được 73,5% số tiền bị mất.

**Bối cảnh**: Nửa đầu năm 2025, lĩnh vực crypto đã bị hack hơn $2 tỷ USD, phần lớn liên quan tới hacker Triều Tiên. Thời điểm và kỹ thuật vụ hack Balancer lần này khá giống phong cách nhóm Lazarus khét tiếng.

**Lưu ý**: Chỉ các Composable Stable Pools của Balancer V2 bị ảnh hưởng, V3 và các loại pool khác an toàn. Cẩn thận với phishing giả mạo thông báo chính thức.