DeFi 信任危機！Balancer 遭駭 1.2 億美元，創 2025 最大加密盜竊案
去中心化金融（DeFi）協議 Balancer 週一遭到大規模駭客攻擊，損失金額高達 1.2 億美元，成為 2025 年以來規模最大的加密貨幣盜竊事件。根據區塊鏈安全公司 PeckShield 與 Cyvers 的分析，駭客利用 Balancer 智能合約漏洞，成功從多個交易池中轉移大量資產。Balancer 已在社群平台 X 上證實此事，表示工程與安全團隊正以最高優先級調查事件。
複雜漏洞鏈攻擊，數分鐘內掏空資產
事件起於 11 月 3 日，Balancer v2 交易池被偵測出「異常資金流動」。《The Street》引述 DeFi 研究員 Adi Flips 分析指出，這次攻擊鎖定 Balancer v2 的 Vault 架構和流動池，利用「授權錯誤與回呼漏洞」在智能合約間執行未授權的交易，達成跨池操控與資產竊取。
簡單來說，駭客發現了 Balancer 系統中的一個程式漏洞，能夠欺騙系統執行未經授權的交易。藉由這個漏洞，駭客得以在不同交易池之間轉移資金，並在短短幾分鐘內將代幣全部盜走。
不同於傳統私鑰洩露事件，這次攻擊完全是基於合約層的邏輯錯誤。根據 GoPlus Security 的初步報告，漏洞涉及 Vault 計算中的「精度捨入誤差」，駭客反覆執行批次交易（batchSwap），將微小的價格偏差累積成巨大資金差額，最終造成整體價格扭曲並竊走資金。
被竊資產主要包括 WETH、wstETH、osETH、frxETH、rsETH 與 rETH，分佈在 Ethereum 主網與 Base、Sonic 等多鏈上，估計總損失約 1.16 億至 1.28 億美元。事件發生後，Ledger 技術長 Charles Guillemet 呼籲所有用戶立即撤出 Balancer v2 資金並撤銷授權，以防二次攻擊。
連鎖衝擊 DeFi 生態，信任崩塌危機浮現
雖然 DeFi 領域的駭客事件並非首次，但此次攻擊格外引發震盪。《Gizmodo》報導，Balancer 自 2020 年成立以來，因多次通過 OpenZeppelin、Trail of Bits 等權威安全審計而備受信任。其 v2 架構於 2021 年推出，被視為經過時間驗證的穩定版本。然而，即便歷經 11 次審計，漏洞仍未被發現。
以太坊開發者 Lefteris Karapetsas 在 X 上表示，這次事件的關鍵不在於資金損失，而在於 DeFi 信任的崩壞：「一個自 2020 年運作、經過多次審計、且被廣泛使用的協議仍能在一夜間幾乎歸零。這對任何相信 DeFi 穩定性的人都是警訊。」Lido 顧問 Hasu 也指出，Balancer v2 是被審視最多、被複製最多的智能合約之一，如今卻仍被攻破，「這將讓整個 DeFi 採用進程倒退 6 個月」。
受波及的不只 Balancer 本身，基於其開源代碼的其他協議也陸續傳出資產異常。部分鏈如 Berachain 更緊急暫停網路運作並計畫硬分叉以回滾受影響交易。
調查持續，駭客疑經 Tornado Cash 洗錢
Coinbase 董事 Conor Grogan 指出，駭客可能使用去中心化混幣協議 Tornado Cash 為攻擊資金提供匿名化來源，並將贓款轉移至新建立的錢包中，增加追蹤難度。
截至目前，Balancer 已暫時凍結部分功能並封鎖受影響的合約地址。雖然目前還沒有關於攻擊方法的共識，但 Balancer 承諾會盡快分享更多關於這次駭客攻擊的細節以及「完整的事後分析」。
根據區塊鏈情報公司 Chainalysis 統計，2025 年上半年全球加密貨幣盜竊總額已突破 21.7 億美元，而此次 Balancer 攻擊無疑將進一步推高該數字。《The Street》指出，雖然北韓發動的 Bybit 15 億美元駭攻事件占了主要損失來源，但個人錢包遭駭的比例也迅速上升，現已佔整體竊案近四分之一，顯示出加密犯罪正朝更分散、更危險的方向發展。若此趨勢持續，今年光是針對交易服務的竊案金額就可能突破 43 億美元。
＊本文開放合作夥伴轉載，資料來源：《Bloomberg》、《The Street》、《decrypt》、《Bleeping Computer》、《Gizmodo》，首圖來源：AI 工具生成