발랜서의 234,000달러 해킹과 버그 패밀리 DeFi는 사라지지 않을 것

8월 31일, 누군가 발랜서의 유동성 풀을 거의 다 비웠습니다.$234,000DPI, USDC, WETH, 그리고 WBTC의 가치를 얻으려면, 약 1 사토시에 해당하는 금액을 WBTC에 입금하면 됩니다. 이는 한 동전의 1억분의 1에 불과한 금액입니다. 그 정도의 적은 입금금액만으로도 충분합니다.민트 4,408.8 풀 토큰보안 회사 SlowMist에 따르면, 공격자는 그 자산을 풀의 실제 자산으로 교환했습니다.

“작은 일들에 속하는 것 같아요… 암호화폐도 결국은 그런 것입니다.” 저항이 바로 핵심입니다. 6자리 숫자가 적힌 그 제목 아래에는, 11월에 Balancer에서 1억 2천만 달러 이상을 잠식한 버그가 있습니다. 그리고 4개월 후에는 그 프로토콜을 만든 회사가 파산하게 되었습니다. 2026년의 경우도 마찬가지입니다. 그 메커니즘은 새로운 것이 아니며, 여전히 운영되고 있는 이유는 DeFi에서 위험이 어디에 존재하는지를 보여줍니다. 제가 그 체인을 보여드리겠습니다.

사토시로 수영장을 구매하는 방법

발랜서의 원래 풀에서는 모든 계산이 18자리까지 이루어집니다. WBTC는 교차 거래에서 주목받는 비트코인 토큰으로, 8자리로 표시됩니다. 일반적으로 이러한 불일치는 아무도 알아차리지 못하는 단순한 반올림 문제입니다. 하지만 공격자는 먼저 풀의 WBTC 예금을 거의 없게 만들었고, 스파크, 아베, 모르포, 유니스왑 V3에서 빌린 급여 대출을 이용해 여러 번의 스왑을 진행했습니다. 예금이 거의 사라진 후에는 계약의 역방향 “참여” 계산이 작동하여, 요청된 풀 토큰을 얻기 위해 필요한 입금액이 단 하나의 사토시로 줄어들었습니다. 토큰 크기의 입금을 거부하는 조건은 계약의 다른 부분에서만 적용되며, 이 경로에서는 적용되지 않았습니다.

그 바이러스는 Balancer V1에 존재합니다.2020년에 만들어진 코드베이스는 변경할 수 없으며, 업데이트도 불가능하고 유지보수도 이루어지지 않습니다.Balancer는 2021년에 V2로, 그 후에는 V3로 전환되었습니다. V1 계약들은 여전히 체인 위에 남아서, 단독 사용자들이 가진 자금을 보존해두고 있습니다. 이 프로젝트는 가장 많이 파괴된 DeFi 인프라 중 하나이기 때문에, 참여/탈퇴 관련 로직도 다른 프로젝트들의 풀 안에도 존재합니다. 보안 연구자들은 이 점도 취약점으로 지적했습니다. 올해 초에는 Polygon에서도 이 코드의 직접적인 복제본이 문제가 발생했습니다.

이것도 비밀스러운 문제가 아니었습니다. 보안 연구원들은…2020년 1월에 발생한 GitHub 이슈이것은 본질적으로 이런 실패 모드를 설명하는 것입니다 – 낮은 소수 자릿수의 토큰들이 적은 예비 자금을 가지고 있고, 너무 저렴하게 토큰을 발행한다는 것입니다. 지식으로는 불변적인 계약을 수정할 수 없습니다.

세 번의 타격, 같은 가족

“같은 버그 계열”이라는 표현이 여기서 큰 역할을 하고 있습니다. 왜냐하면 반올림 및 정밀도 문제가 이제 Balancer에 세 번이나 발생했기 때문입니다.

• 2023년 8월.V2의 부스트된 풀에서 발생한 반올바오 오류로 인해 공격자가…200만 달러 이상을 휩쓸어 가다이 취약점이 공개된 지 며칠 이내에.
• 2025년 11월 3일.V2의 안정적인 풀에서의 반올림 방향 오류 – “정확한 아웃” 스왑 경로가 잘못된 방향으로 반올림된다.1억 2천만 달러 이상이 들었습니다.30분 이내에 여러 체인을 처리할 수 있습니다. 보안 회사들입니다.가장 많이 언급된 추정치는 1억 2,860만 달러였습니다.발랜서의 자체 회계 보고에 따르면 총 손실은 1억2,110만 달러였습니다.2025년 최대 규모의 DeFi 해킹 사건 세 번째.
• 2026년 8월 31일.V1. $234,000.

저는 그들을 나열하는 이유가 바로 그 간격 때문입니다. 각각의 수정 사항은 자신이 작성된 버전을 보호했지만, 그 뒤에 남아 있는 버전들은 그대로 노출되고 말았습니다. 11월의 버그는 오랫동안 그 코드 안에 그대로 남아 있었습니다. 만약 감사 작업을 했다면 그 버그를 발견할 수 있었을 텐데…관련된 수학적 내용은 명확히 범위를 벗어납니다.V1은 전혀 수정된 적이 없어요. 왜냐하면 그럴 수 없으니까요.

거대한 파업이 회사에 미친 영향

11월의 해킹은 이번 사건의 원인일 뿐만 아니라, 이제는 회사를 찾을 수 없는 이유이기도 합니다. 잠금된 전체 가치는 줄어들었습니다.약 7억 7천5백만 달러에서 약 3억 달러 정도즉시 그 후에. 2026년 3월에 기업 개발 부서인 Balancer Labs가 문을 닫았을 때, TVL은 약…2021년 최고치인 35억 달러에서 95% 감소했습니다.– 약 1억 7,700만 달러 정도 – 반면에 BAL 거버넌스 토큰은 어느 정도 거래가 이루어졌습니다.역대 최저치는 약 0.15달러입니다.시장 가치는 약 1천만 달러 정도입니다. 공동 창립자인 페르난도 마티넬리는 이 기업체가 자산이 아니라 부채가 되었다고 말했습니다. 이러한 행위로 인해 실제적인 법적 문제가 생겼으며, 회사는 더 이상 그 비용을 감당할 만큼의 수익을 창출하지 못하고 있습니다.연간 수익으로 100만 달러지난 분기 대비.

구조조정 계획은 매우 명확했습니다. BAL을 완전히 중단시키고, 마르티넬리가 “순환형 뇌물 경제”라고 부른 시스템을 폐지해야 합니다. 모든 프로토콜 비용은 재무부로 넘겨져야 하며, 떠나고 싶은 사람들로부터 토큰을 회수해야 합니다. 남게 된 것은 축소된 형태의 기반과 DAO 구조이며, 미래는 V3 아키텍처에 의존하게 됩니다. 이 아키텍처는 이러한 문제를 설계상으로 해결해줍니다.18자리 정밀도, 명시적인 반올림 방식라운드트립 스왑의 형식적 검증.

도대체 누가 지불하는가?

이제 가장 중요한 부분입니다. 11월에 발생한 공격이 일어났을 때, Balancer는 약…1억 2천1백만 달러의 손실 중 4,570만 달러보안 팀, 재단, 그리고 화이트하트들이 보호하거나 회복한 것들입니다. 하지만 DAO가 영향을 받은 리퀴드 프로바이더들에게 돈을 돌려주기 위한 계획은 훨씬 적었습니다 — 대략…800만 달러가 같은 화폐로 지급되었습니다.각 풀별로 분류되어서, 실제로 자금이 회수된 풀들에만 LPs가 참여할 수 있습니다. 나머지 손실은 DeFi에서 항상 발생하는 대로, 유동성 공급자들에게 전달됩니다. 이는 그들의 몫에 해당하는 금액이며, 그들의 잘못이 아닙니다.

8월 31일에 소진된 V1 풀의 경우, 신청할 수 있는 프로그램조차 없습니다. 업그레이드 방법도 없고, 기업 측의 책임자도 없으며, 보험도 없습니다. 이는 단지 오래된 코드를 이용한 허용된 거래일 뿐입니다. 돈은 네트워크상의 가장 오래된 계약들에서 사라졌으며, 그 계약들의 복사본들은 다른 곳에 있지만, 그곳도 유지되지 않고 있습니다.

판결

중요한 교훈은, 6자리 숫자가 암호화폐에서 별거 아닌 것이라는 것이 아닙니다. 오히려 반대입니다. 해킹의 규모는 코드가 얼마나 위험한지 보여주는 것이 아니라, 어떤 자산이 취약한 상태인지를 나타냅니다. 234,000달러의 손실과 121백만 달러의 손실은 같은 버그에 의한 결과일 뿐, 금액의 차이는 없습니다. 그들을 구분하는 것은, 작은 손실이 아무도 사용할 수 없는 코드에 의해 발생했다는 점뿐입니다.

이는 BAL이나 수익을 창출하는 자산 풀에 대해 신중한 검토가 필요한지 여부를 결정하는 기준이 됩니다. 이전의 질문은 “이것이 이미 감사되었는가?”였습니다. 더 좋은 질문은 “이 문제를 해결할 수 있는가? 그리고 해결할 수 없다면 누가 책임을 지는가?”입니다. 과거에는 이러한 문제들을 간과해왔습니다. 네트워크상의 가장 오래된 코드는 가장 안전하지 않습니다. 왜냐하면 그 코드는 변경될 수 없기 때문입니다. 자산 풀의 안전성을 예측하는 가장 신뢰할 수 있는 지표는 얼마나 자주 검사되었는지가 아니라, 아직도 누가 그 자산 풀을 관리하고 있는지, 그리고 그 사람들이 사라진 후에 돈이 어떻게 되는지입니다.