밸런서 해킹으로 1억 1,600만 달러 탈취… 밸런서 코인 12% 급락
밸런서 프로토콜(Balancer Protocol) 해킹 공격으로 1억 1,600만 달러의 자산이 탈취당하면서 2025년 최대 규모의 디파이 해킹 사태 중 하나가 되었다.
11월 3일 한국 시간 오후 5시 12분경 블록체인 애널리틱스 기업 룩온체인이 가장 먼저 해킹 발생을 보고하며 밸런서에서 보안 사고로 7,060만 달러의 자산이 탈취된 정황을 포착했다.
룩온체인의 초기 데이터에 따르면 공격자는 여러 블록체인에 걸쳐 6,587 WETH (2,446만 달러), 6,851 osETH (2,686만 달러), 4,260 wstETH (약 1,927만 달러)를 빼돌렸다.
밸런서 해킹 공격, 피해금 1억 1,600만 달러로 불어나
불과 30분만에 룩온체인은 해킹 공격이 여전히 진행 중이라는 업데이트를 공유하며 탈취 자금이 1억 1,600만 달러를 넘었다고 전했다.
이번 보안 공격의 규모 및 정확성을 보면 여러 디파이 생태계에 걸쳐 조직화되었으며 고도의 기술을 활용한 작전이었다고 보인다.
기사 작성 시점 기준 디뱅크를 통해 공격자 지갑의 포트폴리오를 확인하면 보유 자산 규모가 약 5,282만 달러로 6,300만 달러는 이미 처분 및 세탁을 위해 다른 지갑으로 옮긴 것으로 보인다.
이번 공격은 밸런서를 포크한 다른 프로젝트에 파급 효과를 가져왔다. 관련 프로토콜에서 연이어 보안 사고가 발생하거나 이에 대비한 이용자들이 대규모 출금이 발생했다.
공격 사실이 보도되자 패닉 출금이 시작되었다. 한 고래 투자자(0x0090)은 3년 동안 비활성 상태를 유지하다가 갑자기 밸런서 풀에서 650만 달러를 출금했다.
베라체인의 경우에도 BEX에서 밸런서 V2 관련해 발생한 공격과 관련해 비상 하드포크를 진행하기로 했다. 이에 따라 빗썸, 업비트, 코인원 등 국내 가상자산 거래소에서 베라체인(BERA) 입출금이 임시 중단된 상태다.
주요 디파이 프로토콜의 대응
주요 이더리움 기반 프로토콜도 빠르게 대응했다. 업계를 선도하는 유동성 스테이킹 플랫폼 리도(Lido)는 일부 밸런서 V2 풀이 공격을 받았지만 리도의 핵심 프로토콜과 이용자 자금은 안전하다고 명확히 밝혔다.
리도는 공식 입장문을 통해 다음과 같이 말했다.
“예방 차원에서 GGV를 운영하는 베다(Veda) 팀은 피해를 받지 않은 밸런서 포지션을 철회했다.”
또 다른 디파이 렌딩 프로토콜 에이브(AAVE)는 이번 공격과 완전히 무관하며 영향을 받지 않았다고 강조했다.
에이브는 AAVE/stETH sktBPT 풀이 밸런서 V2의 커스텀 버전을 이용해 밸런서의 취약한 부분과 독립적으로 작동한다고 설명했다.
에이브 팀은 “에이브 프로토콜은 밸런서 V2에 대한 의존도가 전혀 없으며 우리가 아는 한 피해를 받지 않았다”라고 밝혔다.
밝혀지지 않은 근본 원인 및 진행 중인 조사
밸런서 개발자들은 공격 사실을 인지하면서도 근본 원인이나 피해규모는 아직 정확히 밝히지 않았다.
그러나 초기 신호를 보면 밸런서 프로토콜의 고유한 유동성 아키텍처를 겨냥한 복잡한 크로스체인 공격 벡터를 활용했을 가능성이 제기되었다.
게다가 이번 사태는 밸런서 프로토콜에서 해킹 사고가 발생해 풀 자금을 탈취당한 첫 사례가 아니다.
2023년 8월에 밸런서는 코드 취약점 관련 공격으로 200만 달러의 해킹 피해를 입었다. 다음 달에는 V2 풀에서 90만 달러가 추가로 탈취되었다.
이번 공격과 마찬가지로 취약점이 있는 자산은 이더리움, 폴리곤, 아비트럼, 옵티미즘, 아발란체, 노시스, 팬텀, zkEVM 등 여러 체인에 걸쳐 분포했다.
디파이 보안 우려 확대
이번 사고에서 특히 우려스러운 점은 이더리움 외 주요 체인으로 확산되고 있다는 점이다.
9월 8일에 수이 블록체인 위 디파이 일드 프로토콜 네모 프로토콜(Nemo)은 점검 일정을 앞두고 사이버공격을 받으며 240만 달러의 피해를 입었다.
같은날 스위스 암호화폐 플랫폼 스위스보그(SwissBorg)는 해커들이 파트너 API 공급업체 킬른(Kiln)을 공격해 솔라나 4,150만 달러 상당을 탈취했다.
5월에는 수이 블록체인 위 DEX 시터스(Cetus) 프로토콜에서 보안 사고가 발생하며 2억 달러 이상의 자산을 탈취당했다.
펙실드(PeckShield)의 최신 보고서에 따르면 2025년 9월에만 암호화폐 해킹 공격으로 인한 피해금액이 1억 2,706만 달러를 기록해 디파이 및 블록체인 플랫폼에 대한 대규모 공격의 리스크가 여전히 크다고 보여주었다.
2025년 상반기 암호화폐 보안 사고로 인한 피해금액은 21억 달러였으며 이는 2024년 전체 피해금액과 맞먹는다.
암호화폐 해킹 사건이 끊이지 않는 이유
지난 8월 크립토뉴스가 이뮨파이(Immunefi) 창업자 겸 CEO 미첼 아마도르를 인터뷰했을 때 그는 대부분의 암호화폐 해킹 공격이 크게 세 가지 주요 원인으로 발생한다고 설명했으며 다음과 같다:
- 정적 감사: 기업들이 일회성 감사에 의존해 출시 후 스마트 컨트랙트 변화에 따른 결점을 놓치고 있다.
- 인센티브 무시: 웹3의 공개 원장 특성으로 인한 공격 매력을 과소평가하고 있으며 악의적 해커를 예방할 바운티 프로그램이 필요하다.
- 웹3 전문성의 부족: 여러 프로젝트 팀이 블록체인 지식이 부족한 상태에서 서비스를 출시해 컴포저빌리티 리스크나 오라클 리스크를 간과한다.
해킹 공격 여파로 밸런서 코인(BAL) 시세는 24시간 전 대비 12% 하락해 0.8354달러에 거래되었다. 밸런서 코인 거래를 지원하는 국내 가상자산 거래소 빗썸과 코인원에서도 유사하게 시세가 하락했으며 각각 밸런서 코인 입출금을 임시적으로 중단하고 있다.
2025년 러그풀 예방 가이드
관련 기사 보기
in numbers
