執筆：ChandlerZ，Foresight News
DeFiの世界が再び嵐の中心に陥った。
Balancer V2アーキテクチャに基づく複数のプロジェクトが11月3日に巧妙に設計された攻撃を受け、被害総額は1.2億ドルを超えた。この事件はEthereumメインネットだけでなく、Arbitrum、Sonic、Berachainなど複数のチェーンにも波及し、Euler FinanceやCurve Financeの事件に続き、業界全体を震撼させるセキュリティ事故となった。
BlockSecの初期分析によると、これは「高難度の価格操作攻撃」であり、攻撃者はBPT（Balancer Pool Token）の価格計算ロジックを歪め、不変式（Invariant）における丸め誤差を利用して価格の歪みを作り出し、一度のバッチスワップで繰り返しアービトラージを行った。
Arbitrum上の攻撃トランザクションを例に取ると、攻撃は三つの段階に分かれる：
-
攻撃者はまずBPTを基礎資産に交換し、cbETH残高を丸め境界（約9）に正確に調整し、後続の精度損失を生み出す条件を整える；
-
次に、特定数量（=8）で別の基礎資産wstETHとcbETH間の交換を行い、スケーリング時に切り下げが発生し、計算されたΔxがわずかに減少、Δyが過小評価され、安定プールの不変式Dが小さくなり、BPTの理論価格が押し下げられる；
-
最後に、攻撃者は基礎資産を逆にBPTへ交換し、押し下げられた価格からアービトラージ利益を得る。
要するに、これは数学とコードの境界上に築かれた精密な攻撃である。
Balancer公式は、V2 Composable Stable Poolsが脆弱性攻撃を受けたことを確認した。現在、チームはトップレベルのセキュリティ研究者と協力して調査を進めており、できるだけ早く完全な事後分析レポートを共有することを約束している。すべての一時停止可能な影響を受けたプールは緊急凍結され、リカバリーモードに入った。今回の脆弱性の影響はV2 Composable Stable Poolsのみに限定され、Balancer V3や他のプールタイプには影響しない。
Balancer V2の脆弱性事件発生後、Balancerをフォークしたプロジェクトも大きく動揺した。DeFiLlamaのデータによると、11月4日時点で関連プロジェクトの総ロック額は約4,934万ドルにまで減少し、1日で22.88%下落した。その中で、BEXはBerachainネイティブのDEXとしてTVLが26.4%減少し4,027万ドルとなり、エコシステム全体の81.6%を占めているが、オンチェーン停止と流動性凍結により資金流出は続いている。もう一つの被害者Beets DEXはさらに悲惨で、24時間でTVLが75.85%暴落、過去7日間で累計約79%下落した。
上記プロトコル以外にも、Balancerアーキテクチャに基づく他のDEXも同様にパニックによる資金引き上げが発生した。PHUXは1日で26.8%下落、Jellyverseは15.5%下落、Gaming DEXはなんと89.3%暴落し、流動性はほぼ空になった。直接被害を受けていない中小プロジェクト、例えばKLEX Finance、Value Liquid、Sobalなども、一般的に5%～20%の資金流出を記録している。
連鎖反応が顕在化、Berachainが緊急ハードフォークを実施
このBalancer V2に起因する脆弱性は、すぐにさらに大きな連鎖反応を引き起こした。
Cosmos SDKを基盤に構築された新興パブリックチェーンBerachainは、BEXもBalancer V2のコントラクトアーキテクチャを採用していたため、数時間以内にハッカーの攻撃を受けた。ファウンデーションは異常を発見後、迅速に「全チェーン停止」を発表した。
報道によると、BEXのUSDe Tripoolなどの流動性プール資産が脅威にさらされ、影響を受けた資金規模は約1,200万ドル。攻撃者はBalancerと同じロジックの脆弱性を利用し、複数のスマートコントラクトインタラクションを通じて資金を盗んだ。部分的な資産がネイティブトークンでないため、チームはハードフォークによって一部ブロックをロールバックし、復旧と追跡を行う必要があった。
同時に、Berachainエコシステムの複数のプロトコル、Ethena、Relay、HONEYなども同時に防御措置を講じた：
-
USDeのクロスチェーン送金を禁止；
-
レンディング市場関連の預金を一時停止；
-
HONEYの鋳造と償還を停止；
-
中央集権型取引所に疑わしいアドレスのブラックリストを通知。
Berachainファウンデーションは声明で、今回のBerachainネットワーク停止は計画的なものであり、ネットワークはまもなく正常運用を再開すると述べた。Balancerの脆弱性は主にEthena/Honey三つのプールに影響し、比較的複雑なスマートコントラクト取引によって引き起こされた。この脆弱性はネイティブ資産（BERAだけでなく）以外にも影響を及ぼしたため、ロールバック/ロールフォワードのプロセスは単純なハードフォークではなく、最終的な解決策が決まるまでネットワークを停止し、包括的な解決策を完了させる。
11月4日、Berachainファウンデーションは現在ハードフォーク用バイナリファイルを配布し、一部のバリデータノードがアップグレードを完了したと発表した。再稼働して再びブロック生成を行う前に、オンチェーン運用に必要なコアインフラパートナー（清算オラクルなど）がRPCを更新していることを確認したいとしている。これらがオンチェーン運用再開の主要な障害となる。コアサービスのRPCリクエスト完了後、チームはクロスチェーンブリッジ、CEXパートナー、カストディ機関などと連携し、サービスを回復させる。
同時に、BerachainのMEVボットオペレーターがチェーン停止後にファウンデーションに連絡し、自身が「ホワイトハット」として資金を抽出したとオンチェーンメッセージを送信した。彼は、ブロックチェーンが再稼働した後に資金を返還するため、事前に一連のトランザクションに署名する意向を示した。
セキュリティ優先か分散化か？
「この決断が物議を醸すことは分かっているが、約1,200万ドルのユーザー資産が脅威にさらされた時、ユーザー保護が唯一の選択肢だった。」Berachain共同創設者のSmokey The Beraは、コミュニティからの「中央集権化」問題の疑問に対しこう述べた。
彼は声明で、BerachainはまだEthereumレベルの分散化には達しておらず、バリデータ間の調整メカニズムは「危機指令部」に近く、自動化されたコンセンサスネットワークではないと率直に認めた。実際、チェーン上のノードは脆弱性発生から1時間足らずで一斉に停止し、集中決定の効率を示すと同時に、ガバナンス層の中央集権度も露呈した。
コミュニティの反応はすぐに分裂した。
支持者は、この行動がチームのユーザーセキュリティへの責任感を示し、「現実主義的な分散化」だと評価した。一方、反対者は「Code is Law（コードこそが法）」の原則に反し、オンチェーンの不可逆性への公然たる裏切りだと非難した。
オンチェーン探偵ZachXBTはコメントで、「ユーザー資金が危機に瀕している状況では、これは困難だが正しい決断だ」と述べた。
しかし、急進的な開発者の中には「もしブロックチェーンがいつでも人為的に停止できるなら、それは伝統的金融システムと何が違うのか？」と率直に疑問を呈する者もいた。
DAO事件の影が再び
この騒動は、多くの業界関係者に2016年のEthereum DAOハッキング事件を思い起こさせた。当時、Ethereumは盗まれた5,000万ドルを取り戻すため、ハードフォークによるトランザクションのロールバックを決定し、結果としてコミュニティはEthereum（ETH）とEthereum Classic（ETC）に分裂した。
9年が経ち、同様の選択が再び現れた。
異なるのは、今回はまだ発展初期のパブリックチェーンが主役であり、十分な分散化も、グローバルコンセンサスの規模も持たないことだ。
Berachainの人為的介入はより大きな損失を防いだが、「ブロックチェーンは本当に自律できるのか」という哲学的な問いを再び投げかけた。
ある意味、これはDeFiエコシステムの鏡でもある：セキュリティ、効率、分散化——この三者のバランスは未だに実現されていない。
ハッカーが数秒で数千万ドルの資産を破壊できる時、「理想」はしばしば「現実」に道を譲らざるを得ない。
Balancer公式は、チームがトップレベルのセキュリティ研究者と協力し、完全な事後分析レポートを発表する予定であり、ユーザーに偽のセキュリティチームによる詐欺メッセージに注意するよう呼びかけていると述べた。
Berachain側は、ハードフォーク完了後に段階的にブロック生成と取引機能を回復させる予定だとしている。
しかし、信頼の回復は脆弱性修復よりもはるかに困難だ。新興パブリックチェーンにとって、チェーンの一時停止は短期的な消火策だが、コミュニティに長期的な傷跡を残す可能性がある。ユーザーはその分散化の真実性を疑い、開発者は改ざん不可能な保証があるかどうかを懸念するだろう。
DeFiの世界は、おそらく分散化の再定義を進めている。絶対的な放任ではなく、危機の中で最小限の妥協によるコンセンサスを見出すことなのかもしれない。
