이더리움 해킹 사건

[럭키스타7]

●2025년 11월 이더리움 기반 Balancer 프로토콜 해킹 사고 상세 분석

최근(2025년 11월 3일) 이더리움 기반 DeFi(분산금융) 프로토콜인 *Balancer*가 대규모 해킹을 당한 소식이 크립토 커뮤니티를 뜨겁게 달구고 있습니다. 이 사건은 DeFi 역사상 가장 큰 규모 중 하나로 평가되며, 총 손실액이 약 *1억 2,800만 달러(약 1,700억 원)*에 달합니다.

ETH(이더리움) 가격도 이 여파로 7~9% 급락하며 시장 전체에 충격을 주었습니다. 아래에서 사건의 배경, 원인, 과정, 영향, 그리고 대응 상황을 자세히 설명하겠습니다. 정보는 최신 뉴스와 X(트위터) 포스트를 기반으로 합니다.

1. **Balancer 프로토콜이란?**

- Balancer는 이더리움 메인넷을 기반으로 한 *자동화된 마켓 메이커(AMM)* DeFi 플랫폼입니다.

- 사용자가 토큰을 '풀(pool)'에 예치해 유동성을 제공하고, 스왑(교환) 수수료로 수익을 내는 구조입니다.

- V2 버전의 'Composable Stable Pools' 기능이 핵심으로, 여러 토큰을 효율적으로 조합해 안정적인 수익을 추구합니다.

- 해킹 전 TVL(Total Value Locked, 잠긴 총 자산 규모)은 약 4억 4,000만 달러였으나, 사건 후 58% 붕괴(2억 7,000만 달러로 감소).

이 프로토콜은 이미 여러 감사(audit)를 거쳤음에도 불구하고 취약점이 드러났습니다.

2. **해킹 원인과 과정**

해킹의 핵심은 *스마트 컨트랙트의 'rounding error(반올림 오류)'*입니다. 이는 수학적 계산에서 발생하는 미세한 오차를 악용한 고도로 정교한 공격입니다. 자세한 과정은 다음과 같습니다:

- **취약점 위치**: Balancer V2의 `batchSwap` 함수(한 번의 트랜잭션으로 여러 스왑을 처리하는 기능). 이 함수는 풀 내 가격 균형을 유지하기 위해 소수점 계산을 하며, 반올림 시 아주 작은 차이(예: 0.000001 ETH)가 발생합니다.

- **공격자 전략**

1. 공격자가 풀에 소량의 자산을 예치하고, 수천 번의 마이크로 스왑(작은 규모 교환)을 반복 실행.

2. 각 스왑마다 반올림 오류로 인한 '잔여 자산'을 미세하게 훔침 (예: 1센트 차이처럼 보이는 수준).

3. 이 과정이 누적되면서 수백만 달러 규모로 확대. 공격은 'vault(금고) 로직'의 공유 구조를 이용해 여러 풀에 동시에 영향을 미쳤습니다.

- **크로스 체인 영향**: Balancer가 다중 체인(Ethereum, Arbitrum, Base, Polygon, Berachain 등)에서 운영되다 보니, 취약점이 모든 네트워크로 확산. Ethereum 메인넷이 가장 큰 피해를 입었습니다.

이 오류는 11번의 감사에도 놓친 '경제적 불변성(invariant)' 문제로, DeFi의 복잡한 컴포저빌리티(상호 연결성)가 약점으로 작용한 사례입니다.

3. **피해 규모와 자산 유형**

총 손실액은 초기 추정 7,000만 달러에서 최종 1억 2,800만 달러로 확인됐습니다. 아래 표로 체인별·자산별 피해를 요약했습니다.

- 주요 훔친 자산: 6,850 osETH, 6,590 WETH, 4,260 wstETH 등. 공격자는 이를 새 지갑으로 이동시켰습니다.

- 일부 회복: 5일 만에 약 2,070만 달러(전체의 16%)가 추적·동결됐습니다. 나머지는 Tornado Cash 같은 믹서로 세탁 중.

4. **시장 및 생태계 영향**

- **ETH 가격**: 해킹 직후 9% 하락해 3,600달러까지 떨어짐 (현재 3,300달러대 회복 중). 25% 아래로 밀리며 1억 달러 규모 청산(liquidation) 발생.

- **BAL 토큰**: 22% 폭락 (Balancer 거버넌스 토큰).

- **DeFi 전체**: TVL 21억 달러 감소, Fear & Greed 지수 'Greed(71)'에서 'Neutral(49)'로 하락. 기관 투자자들의 DeFi 노출 재평가 촉발.

- **긍정적 측면**: Ethereum 생태계는 붕괴하지 않고, 오히려 보안 강화 논의(예: AI 기반 실시간 모니터링)가 활발해짐. L2 솔루션(Arbitrum 등)으로 유동성 이동 가속.

X 커뮤니티에서는 "DeFi의 성숙기"로 평가하며, 감사 한계와 투명성 강조가 이어지고 있습니다.

5. **Balancer 팀의 대응과 교훈**

- **즉시 조치**: 풀 일시 중지, 사용자 알림, 외부 감사자(PeckShield, Nansen)와 공동 조사. 예비 보고서에서 rounding error를 공식 확인.

- **회복 계획**: 부분 보상 논의 중 (완전 보장은 미정). TVL 회복을 위한 새로운 풀 론칭 준비.

- **교훈**

- 감사 ≠ 완벽 보안: 복잡한 스마트 컨트랙트는 지속적 모니터링 필요.

- 위험 관리: 자산을 한 프로토콜에 집중하지 말고, 보험(예: Nexus Mutual) 활용.

- *사용자 팁*: DefiLlama나 PeckShield 같은 도구로 실시간 위험 확인.