디파이 프로토콜 밸런서 1억2800만 달러 해킹 사태

탈중앙화 금융(디파이) 프로토콜 밸런서는 2025년 11월 3일 스마트컨트랙트 취약점을 악용한 공격으로 V2 풀에서 총 1억2800만 달러 상당의 디지털자산을 탈취당했다고 밝혔다. 블록체인 보안업체들은 이날 밸런서의 메인 볼트 컨트랙트에서 대규모 자금 유출이 발생한 것을 온체인 데이터로 포착해 경보를 울렸다. 공격자는 '매니지유저밸런스' 함수의 접근제어 로직에서 발신자 검증값을 스스로 조작할 수 있는 허점을 악용해 임의의 계정 소유자로 위장하는 방식으로 자금을 인출했다. 이번 해킹은 이더리움, 베이스, 폴리곤, 아비트럼 등 여러 블록체인에 걸친 밸런서 배포판과 다수의 포크 프로젝트에까지 피해를 입히며 2025년 최대 규모의 디파이 해킹 사고 중 하나로 기록됐다. 밸런서 개발팀은 사고 인지 직후 엔지니어링·보안팀을 투입해 긴급 조사에 착수했다고 공지했다.

밸런서 운영진은 해킹 발생 다음 날인 2025년 11월 4일 탈취된 자산의 20%를 보상금으로 지급하겠다며 공격자에게 48시간 시한을 두고 자금 반환을 공개 요청했다. 이는 이번 공격을 자금 탈취가 아닌 화이트해커의 취약점 발견으로 간주해 형사처벌 대신 보상금을 지급하는 방식으로 최대한 많은 자산을 회수하려는 시도였다. 업계에서는 유사한 대형 해킹 사고에서 이 같은 협상이 부분적으로 성공한 전례가 있었던 만큼 이번에도 일부 자금 회수 가능성이 거론됐다. 실제로 이더리움 기반 유동성 스테이킹 토큰을 취급하는 스테이크와이즈는 자체적으로 도난된 오스ETH 자산의 73.5%에 해당하는 약 1900만 달러를 회수하는 데 성공했다고 발표했다. 다만 공격자의 신원과 소재는 끝내 특정되지 않았다.

베라체인 블록체인의 검증인들은 밸런서 해킹의 여파가 자사 생태계 내 연계 디파이 프로토콜에도 미치자, 네트워크를 일시 중단하고 긴급 하드포크를 단행해 피해 자산 일부를 되돌리는 이례적 조치를 취했다. 이는 탈중앙화를 표방하는 블록체인이 대형 해킹 피해를 되돌리기 위해 검증인 합의를 통한 체인 자체 개입에 나선 드문 사례로 주목받았다. 업계에서는 이런 조치가 탈중앙화 원칙과 이용자 보호 사이의 딜레마를 다시 부각시켰다는 평가가 나왔다. 베라체인 측은 이번 조치가 예외적 비상 대응이며 향후 유사 사고에 대한 표준 대응 방식은 아니라고 선을 그었다. 이번 사건을 계기로 여러 디파이 프로젝트가 유사한 스마트컨트랙트 접근제어 로직에 대한 전수 점검에 나섰다.

밸런서 다오(DAO)는 해킹 이후 후속 대응으로, 피해를 입은 유동성 공급자들에게 사고 이전 보유 지분 비율에 따라 총 800만 달러를 보상하는 방안을 제시했다. 아울러 화이트해커나 제3자가 탈취 자금을 회수해 반환할 경우 회수액의 최대 10%, 개인당 최대 100만 달러까지 보상금을 지급하는 규정을 마련해 자발적 반환을 유도했다. 피해를 입은 유동성 공급자들은 180일의 청구 기간 내에 별도로 마련된 신청 절차를 통해 보상을 청구할 수 있도록 했다. 이 같은 대응은 화이트해커에게 20%를 일괄 지급하겠다는 애초 제안이 받아들여지지 않은 이후 마련된 차선책 성격이 짙었다. 전체 피해액 1억2800만 달러 가운데 화이트해커와 자체 회수 노력을 통해 확보된 금액은 약 2800만 달러 수준으로 집계됐다.

이번 밸런서 해킹 이후 일부 보안업계 관계자들은 공격 수법과 규모가 앞서 발생한 북한 라자루스 그룹의 해킹 사건들과 유사하다고 지적하며 배후 가능성을 제기했다. 다만 재사용된 컨트랙트 코드나 지갑 클러스터링, 인프라 중복 등 라자루스 그룹과 직접 연결짓는 명확한 기술적 증거는 확인되지 않았다고 보안 전문가들은 밝혔다. 업계에서는 2025년 한 해 동안 발생한 디파이·가상자산 해킹 피해액이 27억 달러에 이르렀고 이 중 상당 부분이 북한 연계 조직의 소행으로 추정된다는 집계를 근거로 이 같은 정황적 추정이 나온 것으로 분석했다. 미국 연방수사국(FBI) 산하 인터넷범죄신고센터(IC3)는 앞서 2025년 2월 발생한 바이빗 해킹 15억 달러 피해를 북한 소행으로 공식 지목한 바 있어, 밸런서 사건에 대해서도 유사한 조사가 이뤄질지 주목됐다. 다만 밸런서 사건에 대해서는 별도의 공식 귀속 발표가 나오지 않은 채 조사가 이어졌다.