Balancer Boosted Pool Reentrancy

Am 27. August 2023 wurden Balancer Boosted Pools um etwa 2,1 Millionen US-Dollar ausgenutzt — fünf Tage nachdem Balancer die Schwachstelle öffentlich offengelegt und Nutzer zum Abheben gedrängt hatte. Dies war ein separater, früherer Vorfall als der viel größere Balancer-v2-Exploit im November 2025.

Was geschah

Am 22. August 2023 legte Balancer öffentlich eine kritische Schwachstelle, die mehrere Boosted Pools betrifft, offen — eine Read-Only-Reentrancy in der Rate-Provider-Preislogik der Pools. Balancer mitigierte 95%+ des gefährdeten TVL durch Pausieren betroffener Pools und drängte LPs in den verbleibenden gefährdeten Pools, sofort abzuheben.

Nicht alle Liquidität verließ rechtzeitig. Am 27. August nutzte ein Angreifer die noch gefährdeten Pools aus, aus denen LPs nicht abgehoben hatten:

1. Nutzte die Read-Only-Reentrancy in der Rate-Berechnung des Boosted Pools — dasselbe strukturelle Muster wie dForce und EraLend früher im Jahr.
2. Manipulierte den gemeldeten BPT-Preis (Balancer Pool Token) des Pools während eines Mid-Mutation-Fensters.
3. Extrahierte Wert aus den falsch bepreisten Pools — etwa 2,1 Mio. USD über die verbleibenden anfälligen Pools.

Folgen

• Balancers proaktive Offenlegung-und-Pause hatte bereits den Großteil der Mittel geschützt — der realisierte Verlust war ein kleiner Bruchteil des gesamten gefährdeten TVL.
• Verbleibende betroffene LPs absorbierten Verluste; das Protokoll koordinierte teilweise Mitigation.
• Der Vorfall wird häufig als Fall von „Offenlegung richtig gemacht, aber Nutzer handelten nicht rechtzeitig" zitiert.

Warum es wichtig ist

Der Balancer-Vorfall vom August 2023 ist ein ungewöhnlicher und lehrreicher Fall, weil das Protokoll fast alles richtig gemacht und trotzdem einen Verlust erlitten hat:

1. Die Schwachstelle wurde proaktiv gefunden und offengelegt (nicht durch Exploit entdeckt).
2. 95%+ des gefährdeten TVL wurde geschützt durch Pausieren der Pools und Warnen der Nutzer.
3. Der realisierte Verlust war ein kleiner Bruchteil dessen, was ein unangekündigter Exploit gekostet hätte.

Und doch gingen 2,1 Mio. USD verloren — weil nicht jeder LP rechtzeitig aus den verbleibenden gefährdeten Pools abhob. Dies illustriert eine harte Wahrheit über DeFi-Vorfallsreaktion: Selbst eine perfekt ausgeführte Offenlegung kann Nutzer nicht vollständig schützen, die nicht darauf reagieren. Das Protokoll kann pausieren, was es kontrolliert, aber LPs nicht aus Pools zwingen, und ein nennenswerter Anteil der Nutzer wird die Warnung nicht sehen, sie nicht verstehen oder im verfügbaren Fenster nicht handeln.

Die technische Grundursache — Read-Only-Reentrancy in einem DEX-/Pool-Rate-Provider — ist dieselbe Bug-Klasse, die bei dForce (Feb 2023), EraLend (Jul 2023), Conic Finance (Jul 2023) und Balancer (Aug 2023) alle im selben Jahr wiederkehrte. Das Muster war Mitte 2023 gut verstanden; die Wiederkehr spiegelt wider, wie viele Protokolle Pool-Rate-Reads integriert hatten, die geschrieben wurden, bevor die Read-Only-Reentrancy-Lektion breit internalisiert war. Balancers relativ gutes Ergebnis hier — versus sein katastrophaler November-2025-Vorfall — zeigt, dass selbst ein sicherheitsreifes Team, das eines der meist-auditierten DeFi-Protokolle betreibt, exponiert bleibt, wenn die Schwachstellenfläche groß und die abhängigen Integrationen zahlreich sind.