作者：Frank，PANews

11月3日，DeFi世界的天空被撕開了一道口子。老牌DeFi協議Balancer的金庫地址出現異常的大筆資金轉移。在隨後的幾個小時裡，整個產業目睹了一場災難的即時上演，受損資金從最初報告的7000萬美元一路上升至1.166億美元，最終穩定在1.2864億美元的驚人數字。

巨額受損金額背後，是Balancer V2協議有著多達27個「分叉協議」 ，它們同樣面臨著這個潛伏已久的致命漏洞所帶來的系統性風險。

Balancer V2遭駭客攻擊，1.28億美元資金被盜

11月3日，鏈上安全公司派盾注意到到Balancer V2金庫發生異常轉帳。大量封裝以太坊（WETH）和流動性質押衍生品（wstETH, osETH）被轉移到一個新錢包。

隨後Balancer 團隊迅速確認的確發生了鏈上攻擊事件，隨著鏈上監控的不斷發現，最終統計的受損金額來到了1.28億美元。 Balancer團隊表示，攻擊範圍嚴格限制在V2 可組合穩定池（Composable Stable Pools）。其較新的V3 架構及其他V2 池類型（如權重池）均未受影響。

截至11月4日，Balancer 團隊仍未公佈具體的攻擊原因。不過根據多家保全公司和鏈上分析師的分析認為，這次攻擊的根源在於一個「有缺陷的存取控制檢查」（faulty access-control check）。

攻擊者透過呼叫V2 協定的manageUserBalance 函數向金庫發送了一個惡意建構的指令。這個指令欺騙了協議的內部帳本，使其相信“協議剛剛收取了一大筆費用”，並且“這筆費用的所有權歸攻擊者” 。隨後，攻擊者調用了正常的提款需求，將巨額的資產轉移到自己的帳戶數。

從技術的角度來看，這次攻擊的完成並不在與技術能力有多強，而是攻擊者巧妙的利用了協定當中的邏輯漏洞完成。有分析師認為，駭客在攻擊的過程中留下了控制台日誌，從痕跡的習慣來看，這個駭客很有可能藉助了AI大模型來編寫和審查程式碼，從而發現了人類審計師遺漏的缺陷。

27個分叉協議“躺槍”，各鏈啟動應急措施

相較於駭客巧妙的攻擊手段，真正令業界感到失望的是，Balancer V2先前曾經過四家不同的安全公司OpenZeppelin、Trail of Bits、Certora 和ABDK總計11次審計，卻仍未能發現此漏洞。

最諷刺的是，此次被利用的「可組合穩定池」 (Composable Stable Pool) 這一特定組件，曾在2022 年9 月接受過Certora 和Trail of Bits 的專項審計。

而作為一個上線多年，且看起來經過市場考驗的DeFi協議，Balancer V2協議作為模板已經發展出多達27個“Fork 協議”，這些協議也全部繼承了Balancer V2這一邏輯漏洞。對駭客而言，這個漏洞就像是擁有了一把萬能鑰匙，可以隨時打開這些同樣有著缺陷程式碼的「分叉協議」的金庫。

實際上，這次的駭客攻擊已經蔓延到多條鏈上。其中，以太坊主網的Balancer V2 (主協議)受損最為嚴重，預估損失達1億美元。其次是Berachain的BEX協議，損失金額可能達1,286萬美元。此外，還有Arbitrum、Base、Sonic等一共七條公鏈的協議在這場攻擊行為中受到影響。

面對這場無妄之災，產業面臨兩難：究竟是應該堅持「代碼即法律」的去中心化原教旨主義，眼睜睜看著用戶資金被盜？還是採取中心化的干預措施來保護使用者？

受災最嚴重的Berachain做出了最激進、也最具爭議的決定：協調驗證節點，暫停了整個網路的運作。透過回滾交易，Berachain拯救了BEX 交易所上面臨風險的1,200多萬美元資產。

當然，這也不可避免的引發了社區的爭議，有人質疑：「這難道不會徹底損害你們『鏈』的最終性與安全性嗎？現在這更像是私有鏈而非公有區塊鏈了吧？」對此，Berachain匿名聯合創始人Smokey the Bera回應道：「我認為你的擔憂是合理的，但我相信非常情況需要非常見過手段——我們過去在類似做法中也是如此。

大多數的社區成員還是支持這項決定，畢竟損失慘重的資金池帶來的惡性影響可能遠大於所謂的「去中心化」信念。

Sonic 鏈則啟動了一種“鏈上帳戶凍結機制”，在不停止網路的情況下，鎖定了攻擊者的錢包及其中的340萬美元資金。 Polygon的驗證節點開始主動「審查」來自攻擊者地址的交易。

曾出現多次漏洞事件，TVL腰斬引發信任危機

Balancer的發展史，其實也是與一個複雜邏輯漏洞不斷博弈的歷史。此前，Balancer曾多次遭遇駭客攻擊，從2020年到2025年，累計至少發生五次漏洞事件。這些攻擊手法從最早的閃電貸攻擊到更複雜的V2 增強池漏洞。

然而，在過往的案例中，受損金額基本上在幾十萬美元到200萬美元之間。對Balancer而言，這些過往的攻擊事件更像是修補漏洞的機會。而這次預估損失過億的慘案，則直接擊敗了市場對Balancer的信任與信心。

根據Defillama的數據顯示，在攻擊發生後，Balancer的TVL直接從7.76億美元下降至3.45億美元，降幅超過一半。尤其是Balancer V2的TVL直接減少了2.3億美元，Balancer V2的分叉協議也紛紛撤出資金池，其中Gaming DEX的TVL在一天內下降了87%，Beets DEX則下降了48%。

Lido也表示，雖然Lido協議未受影響，但出於謹慎考慮，已撤出其未受影響的Balancer頭寸。

實際上，像Gaming DEX這樣的分叉協議在事後也表示未受到實際影響，只是為了安全考慮撤出大部分資金。

對DeFi協議而言，信任比黃金更重要，尤其是在屢次遭遇攻擊的歷史背景下。截至11月4日，根據官方透露，StakeWise DAO已經通過多簽協議的合約調用，從駭客手中追回了超過2000萬美元損失。這也使得這次受損的金額下降到9,800萬美元。同時，駭客資產的轉移仍在進行中，已有超過一半被換成ETH。

這場1.28億美元的攻擊，成為DeFi成長過程中代價昂貴的必修課，也提出了三個尖銳問題

1.當「黃金標準」的11次審計都無法發現潛伏兩年的致命漏洞時，「審計」的意義何在？

2.當「代碼傳染病」成為常態，一個基礎協議的漏洞可以瞬間摧毀27個衍生協議時，DeFi 的可組合性是創新還是詛咒？

3.當新興公鏈被迫在「去中心化」和「拯救用戶」之間做出選擇時，「代碼即法律」的理想是否已經讓位給「務實的中心化」？

未來，DeFi 的安全性可能不再僅僅依賴更多的審計，而是依賴更簡單、更穩健、從根本上減少了攻擊面的協定設計。而對於那些在這次事件中失去信任和資本的用戶來說，這種領悟的代價卻無比沉重。