1.28 亿美元被盗、 27 个分叉协议「躺枪」，Balancer 事件的 3 大教训

11 月 3 日，DeFi 世界的天空被撕开了一道口子。老牌 DeFi 协议 Balancer 的金库地址出现异常的大笔资金转移。在随后的几个小时里，整个产业目睹了一场灾难的即时上演，受损资金从最初报告的 7000 万美元一路上升至 1.166 亿美元，最终稳定在 1.2864 亿美元的惊人数字。

巨额受损金额背后，是 Balancer V2 协议有著多达 27 个「分叉协议」，它们同样面临著这个潜伏已久的致命漏洞所带来的系统性风险。

Balancer V2 遭骇客攻击，1.28 亿美元资金被盗

11 月 3 日，链上安全公司派盾注意到到 Balancer V2 金库发生异常转帐。大量封装以太坊（WETH）和流动性质押衍生品（wstETH, osETH）被转移到一个新钱包。

随后 Balancer 团队迅速确认的确发生了链上攻击事件，随著链上监控的不断发现，最终统计的受损金额来到了 1.28 亿美元。 Balancer 团队表示，攻击范围严格限制在 V2 可组合稳定池（Composable Stable Pools）。其较新的 V3 架构及其他 V2 池类型（如权重池）均未受影响。

截至 11 月 4 日，Balancer 团队仍未公布具体的攻击原因。不过根据 Nansen 链上分析师的分析认为，这次攻击的根源在于一个「有缺陷的存取控制检查」（faulty access-control check）。

攻击者透过呼叫 V2 协议的 manageUserBalance 函数向金库发送了一个恶意建构的指令。这个指令欺骗了协议的内部帐本，使其相信「协议刚刚收取了一大笔费用」，并且「这笔费用的所有权归攻击者」。随后，攻击者调用了正常的提款需求，将巨额的资产转移到自己的帐户数。

从技术的角度来看，这次攻击的完成并不在与技术能力有多强，而是攻击者巧妙的利用了协议当中的逻辑漏洞完成。有分析师认为，骇客在攻击的过程中留下了控制台日志，从痕迹的习惯来看，这个骇客很有可能借助了 AI 大模型来编写和审查程式码，从而发现了审计师遗漏的缺陷。

27 个分叉协议「躺枪」，各链启动应急措施

相较于骇客巧妙的攻击手段，真正令业界感到失望的是，Balancer V2 先前曾经过四家不同的安全公司 OpenZeppelin 、 Trail of Bits 、 Certora 和 ABDK 总计 11 次审计，却仍未能发现此漏洞。

最讽刺的是，此次被利用的「可组合稳定池」(Composable Stable Pool) 这一特定组件，曾在 2022 年 9 月接受过 Certora 和 Trail of Bits 的专项审计。

而作为一个上线多年，且看起来经过市场考验的 DeFi 协议，Balancer V2 协议已经发展出多达 27 个「Fork 协议」，这些协议也全部继承了 Balancer V2 这一逻辑漏洞。对骇客而言，这个漏洞就像是拥有了一把万能钥匙，可以随时打开这些同样有著缺陷程式码的「分叉协议」的金库。

实际上，这次的骇客攻击已经蔓延到多条链上。其中，以太坊主网的 Balancer V2 (主协议) 受损最为严重，预估损失达 1 亿美元。其次是 Berachain 的 BEX 协议，损失金额可能达 1,286 万美元。此外，还有 Arbitrum 、 Base 、 Sonic 等一共七条公链的协议在这场攻击行为中受到影响。

面对这场无妄之灾，产业面临两难：究竟是应该坚持「代码即法律」的去中心化原教旨主义，眼睁睁看著用户资金被盗？还是采取中心化的干预措施来保护使用者？

受灾最严重的 Berachain 做出了最激进、也最具争议的决定：协调验证节点，暂停了整个网路的运作。透过回滚交易，Berachain 拯救了 BEX 交易所上面临风险的 1,200 多万美元资产。

当然，这也不可避免的引发了社群的争议，有人质疑：「这难道不会彻底损害你们『链』的最终性与安全性吗？现在这更像是私有链而非公有区块链了吧？」对此，Berachain 匿名联合创始人 Smokey the Bera 回应道：「我认为你的担忧是合理的，但我相信非常情况需要非常手段——我们过去在 Sui 和 Hyperliquid 等案例中也见过类似做法。」

大多数的社群成员还是支持这项决定，毕竟损失惨重的资金池带来的恶性影响可能远大于所谓的「去中心化」信念。

Sonic 链则启动了一种「链上帐户冻结机制」，在不停止网路的情况下，锁定了攻击者的钱包及其中的 340 万美元资金。 Polygon 的验证节点开始主动「审查」来自攻击者地址的交易。

曾出现多次漏洞事件，TVL 腰斩引发信任危机

Balancer 的发展史，其实也是与一个复杂逻辑漏洞不断博弈的历史。此前，Balancer 曾多次遭遇骇客攻击，从 2020 年到 2025 年，累计至少发生五次漏洞事件。这些攻击手法从最早的闪电贷攻击到更复杂的 V2 增强池漏洞。

然而，在过往的案例中，受损金额基本上在几十万美元到 200 万美元之间。对 Balancer 而言，这些过往的攻击事件更像是修补漏洞的机会。而这次预估损失过亿的惨案，则直接击败了市场对 Balancer 的信任与信心。

根据 Defillama 的数据显示，在攻击发生后，Balancer 的 TVL 直接从 7.76 亿美元下降至 3.45 亿美元，降幅超过一半。尤其是 Balancer V2 的 TVL 直接减少了 2.3 亿美元，Balancer V2 的分叉协议也纷纷撤出资金池，其中 Gaming DEX 的 TVL 在一天内下降了 87%，Beets DEX 则下降了 48% 。

Lido 也表示，虽然 Lido 协议未受影响，但出于谨慎考虑，已撤出其未受影响的 Balancer 头寸。

实际上，像 Gaming DEX 这样的分叉协议在事后也表示未受到实际影响，只是为了安全考虑撤出大部分资金。

对 DeFi 协议而言，信任比黄金更重要，尤其是在屡次遭遇攻击的历史背景下。截至 11 月 4 日，根据官方透露，StakeWise DAO 已经通过多签协议的合约调用，从骇客手中追回了超过 2000 万美元损失。这也使得这次受损的金额下降到 9,800 万美元。同时，骇客资产的转移仍在进行中，已有超过一半被换成 ETH 。

这场 1.28 亿美元的攻击，成为 DeFi 成长过程中代价昂贵的必修课，也提出了三个尖锐问题

1. 当「黄金标准」的 11 次审计都无法发现潜伏两年的致命漏洞时，「审计」的意义何在？

2. 当「代码传染病」成为常态，一个基础协议的漏洞可以瞬间摧毁 27 个衍生协议时，DeFi 的可组合性是创新还是诅咒？

3. 当新兴公链被迫在「去中心化」和「拯救用户」之间做出选择时，「代码即法律」的理想是否已经让位给「务实的中心化」？

未来，DeFi 的安全性可能不再仅仅依赖更多的审计，而是依赖更简单、更稳健、从根本上减少了攻击面的协议设计。而对于那些在这次事件中失去信任和资本的用户来说，这种领悟的代价却无比沉重。