--- title: "배저다오 프런트엔드 해킹" title_en: "BadgerDAO front-end hack" aliases: ["BadgerDAO front-end hack", "app.badger.com attack", "Badger DAO exploit", "BadgerDAO Cloudflare attack", "BadgerDAO hack", "배저 다오 해킹", "배저 클라우드플레어 해킹", "배저다오 해킹", "뱃져 DAO 해킹"] type: 사건 url: https://wiki.tokenpost.kr/w/badgerdao-frontend-hack-2021 canonical: https://wiki.tokenpost.kr/w/badgerdao-frontend-hack-2021 language: ko publisher: "토큰포스트" citation: "토큰포스트 위키, “배저다오 프런트엔드 해킹”, 2026-11-04 수정, https://wiki.tokenpost.kr/w/badgerdao-frontend-hack-2021" updated: 2026-11-04T01:14:25.546+00:00 created: 2026-11-04T01:14:23.244837+00:00 status: reviewed --- # 배저다오 프런트엔드 해킹 배저다오 프런트엔드 해킹(BadgerDAO front-end hack)은 2021년 12월 2일 비트코인을 이더리움 [디파이](https://wiki.tokenpost.kr/w/defi)에서 굴리는 프로젝트 배저다오의 웹사이트에 심어진 악성 스크립트로 이용자 자금 약 1억 2,000만 달러가 빠져나간 사건이다. 스마트 계약이 아니라 이용자가 보는 화면을 조작한 공격이었다. **다른 이름**: BadgerDAO front-end hack · app.badger.com attack · Badger DAO exploit · BadgerDAO Cloudflare attack · BadgerDAO hack · 배저 다오 해킹 · 배저 클라우드플레어 해킹 · 배저다오 해킹 · 뱃져 DAO 해킹 **분류**: 사건 ## 1. 공격 방식 [이 문단의 원문](https://wiki.tokenpost.kr/w/badgerdao-frontend-hack-2021#section-method) 배저다오 팀의 사후 분석에 따르면 공격자는 [클라우드플레어](https://wiki.tokenpost.kr/w/cloudflare) 계정 관리의 허점을 이용했다. 미승인 사용자가 계정을 등록하고 API 토큰을 만들 수 있다는 문제가 2021년 9월 클라우드플레어 포럼에 올라와 있었다. 배저 개발자들이 9월 중순 해당 계정의 가입을 마쳤을 때 이미 API 키가 만들어져 있었고, 공격자는 이를 손에 넣었다. 공격자는 11월 10일 클라우드플레어 워커스 기능으로 app.badger.com 웹페이지에 악성 스크립트를 넣었다. 이 스크립트는 이용자가 평소처럼 거래할 때 공격자 주소에 금고 자금을 옮길 권한을 승인하도록 유도했다. 공격자는 승인을 모아 둔 뒤 12월 2일 한꺼번에 자금을 빼냈다.[^1][^2] ## 2. 피해와 대응 [이 문단의 원문](https://wiki.tokenpost.kr/w/badgerdao-frontend-hack-2021#section-damage) 12월 1일부터 승인되지 않은 출금 신고가 들어왔고, 팀은 스마트 계약을 일시 중지했다. 팀은 도난액을 1억 3,000만 달러 이상으로 보고, 금고에 남아 있어 회수할 수 있는 약 900만 달러를 빼면 피해가 1억 2,100만 달러를 넘는다고 밝혔다. [펙실드](https://wiki.tokenpost.kr/w/peckshield)는 한 주소에서만 약 900 BTC가 빠져나갔다고 분석했다. 토큰포스트는 피해 규모를 2,100 BTC와 151 ETH로 전했다. 팀은 공격 경로를 막고 비밀번호와 API 키를 바꿨으며, 맨디언트와 [체이널리시스](https://wiki.tokenpost.kr/w/chainalysis)에 조사를 맡기고 미국·캐나다 수사기관과 협력했다. 클라우드플레어는 자사 시스템이 침해되지 않았고 워커스 서비스에 취약점이 없다고 블룸버그에 밝혔다.[^2][^1][^3] ## 3. 보상 [이 문단의 원문](https://wiki.tokenpost.kr/w/badgerdao-frontend-hack-2021#section-restitution) 배저다오는 다오 투표로 보상안을 정했다. 2022년 1월 팀은 BIP 80에 따른 보상의 일부로 199.18 BTC를 LP 토큰 형태로 피해 지갑 81곳에 나눴다고 밝혔다. 팀은 이 금액이 돌려줘야 할 자금의 10%에 못 미친다고 설명했다. 이 사건은 스마트 계약 감사만으로는 이용자 자금을 지킬 수 없다는 점을 보여 줬다. 웹사이트, 도메인, 클라우드 계정처럼 계약 밖의 인프라와 이용자가 별 생각 없이 누르는 토큰 승인 화면이 공격 표면이 된다는 것이다.[^3][^1] ## 4. 연표 - **2021.11** (사건) 11월10일 클라우드플레어 워커스로 배저다오 웹사이트에 악성 스크립트 삽입 - **2021.12** (사건) 12월2일 승인 권한 이용해 약 1억 2,000만 달러 탈취 - **2022.01** (이정표) 피해 지갑 81곳에 약 199 BTC 1차 보상 ## 각주 [^1]: [BadgerDAO team reveals details of $121 million hack](https://forklog.com/en/badgerdao-team-reveals-details-of-121-million-hack/) — 포크로그 · 2021-12-11 [^2]: [DeFi Protocol BadgerDAO Exploited: $120 Million in Funds Drained](https://cryptonews.com.au/defi-protocol-badgerdao-exploited-120-million-in-funds-drained) — 크립토뉴스 오스트레일리아 · 2021-12-03 [^3]: [뱃져 DAO "해킹 피해 월렛에 약 199 BTC 분배, 총 피해약의 10% 수준"](https://www.tokenpost.kr/article-81114) — 토큰포스트 · 2022-01-15 --- 인용: 토큰포스트 위키, “배저다오 프런트엔드 해킹”, 2026-11-04 수정, https://wiki.tokenpost.kr/w/badgerdao-frontend-hack-2021 원문: https://wiki.tokenpost.kr/w/badgerdao-frontend-hack-2021 최종 수정: 2026-11-04T01:14:25.546+00:00 발행: 토큰포스트 위키. 인용할 때 문서 제목과 원문 주소를 함께 밝혀 주세요.