Introduction
In October 2024, Radiant Capital — at the time one of the larger cross-chain money markets, with deployments on Arbitrum, BNB Chain, Ethereum mainnet, and Base — lost roughly $50 million in a sophisticated attack that compromised the private keys of multiple signers on its multisig. The protocol survived the immediate aftermath. It published a forensic report, opened negotiations with the attacker, and continued to operate in a degraded state while its team explored recapitalization. Roughly fourteen months later, in late 2025, Radiant announced it would wind down.
The interesting question is not how the hack happened — the forensic detail has been public for months — but why this particular exploit proved structurally unrecoverable when comparable or larger incidents at other protocols did not end in shutdown. Euler recovered nearly all of a $197M loss through negotiation. Mango Markets restructured. Even Cream Finance, after multiple exploits, limped on. Radiant did not.
We think the answer has three layers. The first is the specific shape of the attack surface that a cross-chain lending protocol presents — a surface materially wider than a single-chain money market. The second is the composition of the loss: which users bore it, and whether the protocol had the levers to socialize or refund it. The third is the broader market context of late 2024 and 2025, in which the appetite to recapitalize damaged DeFi protocols had thinned considerably from the 2021–2022 era. Taken together, these explain not just Radiant’s outcome but a more general claim about which protocols are likely to survive a major exploit and which are not.
The architecture that became the attack surface
Radiant was built as a cross-chain money market, originally on Arbitrum and later extended to BNB Chain, Ethereum, and Base. Users on any supported chain could deposit collateral and borrow assets, with liquidity routed across chains via LayerZero’s messaging primitives. The design ambition — pooling liquidity across chains rather than fragmenting it per deployment — is a recurring goal in DeFi, and Radiant was one of the more visible attempts to realize it within a lending context.
The architectural cost of that ambition is a wider trust surface. A single-chain money market like Aave on Ethereum mainnet has a contract-upgrade key, a risk parameter administrator, and that is roughly the perimeter of the privileged surface. A cross-chain money market has all of those, replicated per chain, plus the messaging configuration between chains, plus the keys that administer pool-by-pool parameters across every deployment. Each privileged role is a candidate target.
In Radiant’s case, the protocol relied on a multisig of signers to administer pool configuration changes. The October 2024 attack did not break a smart contract in the sense of finding a logic bug in the lending math. It targeted the signers themselves. The attacker — credited by multiple analyses to a North Korea–aligned group — appears to have used a months-long social-engineering and malware campaign to compromise the devices of several signers. When those signers came to approve a routine pool configuration transaction, the malware altered what was displayed on the signing interface relative to what was actually signed. The signers believed they were authorizing a benign administrative call; in reality, they were authorizing a transfer of control over the pool contracts.
Once control was obtained, the attacker was able to drain a portion of the deposited assets across affected pools. The total loss across chains landed at roughly $50 million, though the exact figure shifted as recoveries and dust were reconciled in the weeks after.
Why “multisig” is not the safeguard it sounds like
The Radiant incident is one of several in 2024 — the Bybit incident in early 2025 followed a very similar pattern — that should reframe how the industry talks about multisig security. A 3-of-5 or 4-of-7 multisig protects against a single compromised key and against a single dishonest signer. It does not protect against a coordinated supply-chain attack on the signing interface itself, because each signer is checking the same compromised display.
The signers, in other words, were not careless in the conventional sense. They reviewed transactions. The transactions they reviewed were not the transactions they signed. The defense against this class of attack is not more signers; it is independent verification of transaction payloads through a channel the attacker has not also compromised. That practice — using a separate, air-gapped device to decode and confirm the calldata before any signature — was not standard at the time of the Radiant attack and is still not universal.
How the loss landed on the balance sheet
A money market’s balance sheet has a specific structure. Lenders deposit assets and receive interest-bearing receipt tokens. Borrowers post collateral and draw debt. The protocol’s solvency condition is that the value of collateral plus reserves exceeds the value of outstanding debt. When an exploit drains assets, the question of who bears the loss depends entirely on which side of that balance the drained assets sat on.
In Radiant’s case, the drained assets included pooled lender deposits. That is the worst configuration for an honest recovery, because the loss falls on users who were doing exactly what the protocol invited them to do: passive lending. There is no argument that they took on the risk knowingly in the way a leveraged borrower implicitly does. Any path to recovery either has to refund those lenders from somewhere, or socialize the loss across remaining depositors via a writedown of the receipt tokens.
Radiant’s reserves and treasury were not sufficient to refund the loss directly. The protocol’s native token, RDNT, had governance and fee-capture functions but did not have a balance-sheet position large enough to absorb a $50M hit at then-prevailing prices. Even if the team had been willing to mint additional RDNT to cover the gap — as some protocols have done historically — the dilution required would likely have collapsed the token’s market value, leaving the refund mostly notional.
The negotiation that did not happen
In several high-profile DeFi exploits, recovery has come not from internal reserves but from negotiation with the attacker. Euler’s recovery in 2023 followed extensive on-chain communication and ultimately a bounty arrangement. Several smaller exploits have resolved with the attacker returning most of the funds in exchange for a percentage retention and a public commitment not to pursue.
That path was not available to Radiant. The attacker, identified by multiple forensic teams as a state-aligned group, had no incentive to negotiate. The funds were moved through standard laundering pipelines — chain-hopping via bridges, conversion to assets resistant to freezing, and eventual exit through mixing services — within days. By the time the protocol could have credibly offered a bounty, the assets were no longer in a form where partial return was operationally meaningful.
This is a feature of the attacker’s identity that the broader industry has not yet fully internalized. The recoverability of a DeFi exploit is heavily conditional on who did it. An opportunistic attacker, especially one operating from a jurisdiction where they fear identification, has strong reasons to entertain a bounty offer. A state-aligned actor whose operational goal is foreign-currency revenue does not. The expected value of a quick laundering exit dominates the expected value of any bounty short of nearly the full loss.
The fourteen months between the exploit and the wind-down
A protocol that suffers a major exploit and does not die immediately enters a distinctive state. The contracts still function. Some users remain. Liquidations still happen. But the protocol is operating with a known hole in its balance sheet and a degraded trust premium. The relevant question becomes whether it can generate enough new activity — fees, deposits, integrations — to either earn its way back to solvency or attract external capital willing to fill the hole.
Radiant’s path through this state, reconstructed from public communications and on-chain data, tracked a familiar pattern. Immediately after the exploit, the team paused affected markets and published a forensic timeline. Withdrawals from unaffected markets continued. Total value locked, which had been in the high hundreds of millions before the incident, fell sharply in the weeks that followed as risk-averse depositors exited. The composition of remaining TVL skewed toward users with reasons to stay — token holders with locked positions, users with hard-to-exit borrows, and a thin residue of true believers.
The team explored several recapitalization paths. Public discussion at various points referenced potential equity investment, token-based recapitalization, and merger or acquisition by another protocol. None converged. The fundamental problem in each case was that the cost of acquiring Radiant — accepting both the liability for the hole and the operational burden of running a damaged protocol — exceeded the residual franchise value. By the time a serious offer might have materialized, the cross-chain money market category had become more competitive, with established Aave deployments and newer entrants like Morpho’s vault architecture absorbing most of the institutional flow.
What thin liquidity does to a recovery attempt
There is a self-reinforcing dynamic in a damaged money market that we think is underappreciated. As TVL falls, the interest rate model that worked at scale produces worse outcomes. Utilization swings more violently with each large deposit or withdrawal. Rate spikes become more frequent, which deters new depositors, which thins liquidity further. Borrowers facing volatile rates either close positions or migrate. The pool drifts toward an empty equilibrium not because of any single event but because the economics of operating a sub-scale money market are unattractive even before considering the trust deficit.
Radiant’s TVL declined steadily through 2025. By the time the wind-down announcement landed, the protocol was operating at a fraction of its pre-exploit scale. The decision to wind down was, in some sense, formalizing a conclusion the balance sheet had already reached.
What the outcome reveals about insurance and resilience
DeFi has spent several years building protocol-level insurance primitives — Nexus Mutual, various cover protocols, and protocol-native safety modules like Aave’s. Radiant’s collapse is a useful case for examining what these mechanisms actually deliver when tested.
Radiant did not have a safety-module-equivalent backstop on the scale of Aave’s. The protocol’s reserves were sized for operational continuity, not for absorbing a tail loss. This is a common configuration: most lending protocols, including most that present themselves as conservatively managed, do not hold reserves sufficient to absorb a single major incident. The implicit assumption is that the contracts will not fail and the keys will not be compromised, and that any residual risk is borne by users who accept it implicitly by depositing.
Third-party cover, where users individually purchased policies through external mutuals, would in principle have paid out for affected users. In practice, coverage uptake among DeFi depositors remains low — typically well below ten percent of TVL on any major lending protocol — because the premium cost meaningfully erodes the yield that motivated the deposit in the first place. Users who lost funds on Radiant largely did so without external coverage.
The asymmetry the industry has not solved
There is a structural asymmetry in how losses are distributed in DeFi that the Radiant case makes explicit. Upside from a protocol’s success is captured by token holders, team allocations, and early users. Downside from a catastrophic failure is borne primarily by depositors at the time of the event. The mechanisms that could symmetrize this — adequately funded safety modules, mandatory insurance bundled into deposits, or treasury structures with subordinated tranches — exist conceptually but are rarely deployed in a form that would actually clear a $50M loss without protocol-ending dilution.
This asymmetry has implications for how depositors should evaluate yields in DeFi money markets. A lending rate that compensates for credit risk, liquidity risk, and smart-contract risk in a world where catastrophic losses are unbackstopped is structurally different from one in a world where they are. The market does not, currently, price these consistently across protocols.
Comparison with predecessor incidents
It is worth being precise about why Radiant’s outcome diverged from earlier high-profile exploits.
| Incident | Approximate loss | Attacker profile | Outcome |
|---|---|---|---|
| Euler (2023) | ~$197M | Opportunistic, on-chain identifiable | Funds largely returned via negotiation |
| Mango Markets (2022) | ~$114M | Public actor, governance attack | Partial return via governance settlement |
| Cream Finance (multiple, 2021) | ~$130M cumulative | Mixed | Protocol continued at reduced scale, eventually faded |
| Radiant (2024) | ~$50M | State-aligned, key compromise | Wind-down after ~14 months |
The pattern is that the attacker’s identity and motivation — more than the dollar size of the loss — determined whether recovery was possible. Where the attacker was reachable through on-chain communication and had a plausible interest in some form of settlement, partial recovery happened. Where the attacker was a professional actor with established laundering infrastructure, it did not.
Lessons for cross-chain money market design
Several design implications follow from how Radiant failed, and they apply beyond the specific protocol.
The first is about the granularity of privileged roles. A single multisig that controls pool parameters across multiple chains concentrates the consequences of a key compromise. Splitting administrative authority so that no single signing event can reconfigure pools across deployments would not have prevented the social-engineering attack itself, but it would have bounded the blast radius. Several newer lending protocols have moved toward this pattern, either through per-chain administration with formal cross-chain coordination or through immutable pool contracts with parameter changes routed through onchain governance rather than multisig.
The second is about the verification channel for multisig signers. The Radiant attack — and the Bybit attack that followed it with a similar mechanism — established that the signing interface is part of the attack surface and cannot be trusted to display what is being signed. The mitigation is structural: every signer should independently decode the transaction payload using an environment the attacker has not also compromised, ideally a hardware device that displays calldata in human-readable form for the specific contract being called. The tooling for this exists but adoption has lagged.
The third is about the relationship between cross-chain liquidity and cross-chain risk. Pooling liquidity across chains is genuinely useful for capital efficiency, but it converts what would be isolated per-chain incidents into protocol-wide events. A compromise on one deployment can drain pools on others if the messaging layer or the administrative layer ties them together. Whether the capital-efficiency gain justifies the correlated-failure cost is a design question that cross-chain lending protocols have generally answered in the affirmative without explicitly pricing the increased tail risk.
What sufficient reserves would actually look like
A money market that wants to genuinely backstop a tail event needs reserves sized to a plausible worst-case loss, not to an average operating need. For a protocol with hundreds of millions in TVL, that implies a safety module on the order of tens of millions, structured so that it can be liquidated without destroying the protocol token’s value. Aave’s safety module is the closest to this design among major lending protocols, and even there the question of whether it would clear a sufficiently large incident without spiraling stkAAVE value has not been tested at the limit.
For smaller or newer protocols, the honest position is probably that they do not have such reserves and that depositors should price that. The Radiant case suggests that a protocol operating without an adequately sized backstop, hit by a sophisticated attacker, has a meaningful probability of not surviving — and that this probability does not appear in the surface-level yield comparison that most depositors use.
Implications and open questions
Radiant’s wind-down should be read less as a story about one protocol and more as a data point about the recovery distribution for DeFi exploits. The previous several years produced a sample of incidents with surprisingly favorable outcomes — Euler, the Poly Network return, several smaller bounty resolutions — that may have shaped industry expectations in a way the underlying mechanics do not support. Recovery is conditional on a reachable, motivated attacker and on a protocol balance sheet that can hold together through a multi-month negotiation. Neither condition is guaranteed, and in the case of state-aligned attackers, the first is structurally absent.
This raises several questions worth tracking. Whether insurance uptake increases now that the asymmetry has been illustrated by a clean failure case. Whether cross-chain money markets move toward isolated per-chain risk perimeters or whether the capital-efficiency case continues to dominate. Whether safety modules become standard at smaller protocols, or whether the industry settles into a stratification where only the largest protocols carry credible backstops and depositors implicitly accept higher tail risk on the rest. Whether signing tooling that defends against display-layer compromise becomes mandatory for protocols with privileged administrative keys.
There is also a quieter question about what the appropriate disposition is for a protocol that has been damaged beyond recovery but not destroyed. The wind-down path Radiant chose — orderly closure, settlement of remaining positions, return of what assets the protocol still controls to remaining depositors — is more responsible than the alternative of indefinite operation at sub-scale, but it formalizes the loss that affected users had been hoping might be made whole through some future recapitalization. The fairness of that outcome depends on whether the team negotiated harder than was visible, whether external acquirers were realistic options, and whether the residual treasury was deployed in service of users or of token holders.
These are not questions that have clean public answers, and we are skeptical that they will get them. What the Radiant case does provide is a reasonably clear benchmark for what protocol resilience requires: reserves sized to a plausible worst case, administrative surfaces narrow enough that no single compromise is catastrophic, signing practices that assume the interface is hostile, and a clear-eyed view that not every attacker is one a protocol can negotiate with. Protocols that meet those conditions will survive incidents like the one that ended Radiant. Most do not currently meet them.
들어가며
2024년 10월, Radiant Capital은 아비트럼, BNB 체인, 이더리움 메인넷, 베이스에 걸쳐 운영되던 대형 크로스체인 머니마켓이었다. 당시 이 프로토콜은 멀티시그 서명자 여러 명의 개인 키가 탈취되는 정교한 공격으로 약 5천만 달러를 잃었다. 프로토콜은 즉각적인 위기는 넘겼다. 포렌식 보고서를 공개하고, 공격자와 협상을 시도하며, 팀이 재자본화 방안을 모색하는 동안 제한적으로 운영을 이어갔다. 그로부터 약 14개월 뒤인 2025년 말, Radiant는 서비스 종료를 선언했다.
흥미로운 질문은 해킹이 어떻게 일어났느냐가 아니다. 포렌식 세부 내용은 수개월 전부터 공개되어 있었다. 핵심은 왜 이 특정 익스플로잇이 구조적으로 회복 불가능한 결과를 낳았는가 하는 점이다. 규모가 비슷하거나 더 컸던 다른 프로토콜의 사건들은 서비스 종료로 이어지지 않았다. Euler는 1억 9,700만 달러 손실의 대부분을 협상으로 회수했다. Mango Markets는 구조조정을 택했다. Cream Finance조차 여러 차례 익스플로잇을 당하고도 명맥을 유지했다. Radiant는 달랐다.
그 이유는 세 가지 층위로 설명된다. 첫째는 크로스체인 대출 프로토콜이 노출하는 공격 면의 형태 — 단일 체인 머니마켓보다 현저히 넓다. 둘째는 손실의 구성, 즉 피해를 누가 떠안았는지, 그리고 프로토콜이 그 손실을 분담하거나 환불할 수단을 갖고 있었는지다. 셋째는 20242025년이라는 시장 맥락으로, 손상된 DeFi 프로토콜을 재자본화하려는 시장의 의욕이 20212022년 시절에 비해 크게 줄어 있었다. 이 세 요소를 종합하면, Radiant의 결말뿐 아니라 어떤 프로토콜이 대형 익스플로잇에서 살아남을 수 있고 어떤 프로토콜이 그렇지 않은지에 대한 보다 일반적인 주장도 설명된다.
공격 면이 된 아키텍처
Radiant는 크로스체인 머니마켓으로 설계되었다. 처음에는 아비트럼에서 출발해 이후 BNB 체인, 이더리움, 베이스로 확장됐다. 지원되는 어느 체인의 사용자든 담보를 예치하고 자산을 빌릴 수 있었으며, LayerZero의 메시징 프리미티브를 통해 체인 간 유동성이 연결되었다. 체인별로 유동성이 분산되는 대신 하나로 통합한다는 설계 목표는 DeFi에서 반복되는 화두였고, Radiant는 대출 맥락에서 이를 구현하려 한 가장 주목받는 시도 중 하나였다.
그 목표의 아키텍처적 대가는 신뢰 면의 확장이다. 이더리움 메인넷의 Aave 같은 단일 체인 머니마켓에는 컨트랙트 업그레이드 키와 리스크 파라미터 관리자 정도가 특권 면의 전부다. 크로스체인 머니마켓은 이 모든 요소가 체인마다 복제되고, 거기에 체인 간 메시징 설정과 각 배포 전반의 풀별 파라미터를 관리하는 키까지 더해진다. 특권이 부여된 역할 하나하나가 잠재적 공격 대상이 된다.
Radiant의 경우, 프로토콜은 멀티시그 서명자들이 풀 설정 변경을 승인하는 구조에 의존했다. 2024년 10월 공격은 대출 로직에서 버그를 찾아낸 스마트 컨트랙트 공격이 아니었다. 서명자들 자체를 노렸다. 여러 분석에서 북한 연계 조직으로 지목된 공격자는 수개월에 걸친 소셜 엔지니어링과 악성코드 캠페인으로 서명자 여러 명의 기기를 침해한 것으로 보인다. 서명자들이 일상적인 풀 설정 트랜잭션을 승인하러 왔을 때, 악성코드는 서명 인터페이스에 표시된 내용과 실제로 서명되는 내용을 바꿔치기했다. 서명자들은 무해한 관리 호출을 승인한다고 믿었지만, 실제로는 풀 컨트랙트에 대한 지배권을 이전하는 트랜잭션에 서명하고 있었다.
지배권을 획득한 공격자는 피해 풀 전반에 걸쳐 예치 자산의 일부를 인출할 수 있었다. 전체 손실은 약 5천만 달러로 집계되었으나, 이후 몇 주간 회수금과 잔여분이 정산되면서 정확한 수치는 다소 달라졌다.
”멀티시그”가 들리는 것만큼 안전하지 않은 이유
2024년에 발생한 Radiant 사건을 비롯해, 이와 거의 동일한 패턴을 따른 2025년 초의 Bybit 사건까지, 이 일련의 사례들은 업계가 멀티시그 보안에 대해 이야기하는 방식을 바꿔야 함을 시사한다. 3-of-5나 4-of-7 멀티시그는 단일 키 침해와 단일 서명자의 악의적 행동에는 방어력이 있다. 그러나 서명 인터페이스 자체를 대상으로 한 조직적 공급망 공격에는 무력하다. 각 서명자가 동일하게 조작된 화면을 보고 있기 때문이다.
서명자들은 통상적인 의미에서 부주의한 것이 아니었다. 트랜잭션을 검토했다. 그들이 검토한 트랜잭션이 그들이 서명한 트랜잭션이 아니었을 뿐이다. 이 유형의 공격에 대한 방어는 서명자 수를 늘리는 것이 아니라, 공격자가 침해하지 않은 별도 채널을 통해 트랜잭션 페이로드를 독립적으로 검증하는 것이다. 즉, 에어갭 장치를 사용해 서명 전에 calldata를 직접 디코딩하고 확인하는 방식이다. 이 관행은 Radiant 공격 당시에도 표준이 아니었고, 지금도 보편화되지 않았다.
손실이 대차대조표에 미친 영향
머니마켓의 대차대조표는 특유의 구조를 가진다. 대출자는 자산을 예치하고 이자부 영수증 토큰을 받는다. 차입자는 담보를 제공하고 부채를 인출한다. 프로토콜의 지급 능력 조건은 담보 가치와 준비금의 합이 미상환 부채 총액을 초과하는 것이다. 익스플로잇으로 자산이 인출될 때, 손실을 누가 부담하느냐는 전적으로 인출된 자산이 대차대조표의 어느 쪽에 있었느냐에 달려 있다.
Radiant의 경우, 인출된 자산에는 풀에 예치된 대출자들의 자금이 포함되어 있었다. 이는 솔직한 회복 측면에서 최악의 구성이다. 손실이 프로토콜의 초대에 정확히 응한 사용자들, 즉 수동적으로 자금을 빌려준 사람들에게 돌아가기 때문이다. 레버리지 차입자가 암묵적으로 감수하는 방식으로 이들이 그 리스크를 알면서 받아들였다고 볼 여지가 없다. 회복을 위한 어떤 경로든, 그 대출자들에게 어딘가에서 자금을 환불하거나, 영수증 토큰의 가치를 감액하는 방식으로 남은 예치자들에게 손실 분담을 요구해야 한다.
Radiant의 준비금과 트레저리는 손실을 직접 보전하기에 충분하지 않았다. 네이티브 토큰인 RDNT는 거버넌스와 수수료 수취 기능을 갖고 있었지만, 당시 시세로 5천만 달러의 손실을 흡수할 만큼 큰 대차대조표상 포지션이 없었다. 일부 프로토콜이 역사적으로 취해온 것처럼 RDNT를 추가 발행해 손실을 메우는 방안을 팀이 선택했더라도, 그에 필요한 희석이 토큰 시장 가치를 붕괴시켜 결국 환불이 대부분 명목상에 그쳤을 가능성이 높다.
성사되지 않은 협상
여러 고프로파일 DeFi 익스플로잇에서 회복은 내부 준비금이 아니라 공격자와의 협상에서 비롯됐다. 2023년 Euler의 회복은 광범위한 온체인 소통과 최종적인 바운티 합의로 이루어졌다. 여러 소규모 익스플로잇들도 공격자가 일정 비율을 갖고 나머지를 반환하며, 추적 포기를 공개적으로 약속받는 방식으로 해결되었다.
Radiant에는 그런 경로가 없었다. 여러 포렌식 팀에 의해 국가 연계 조직으로 지목된 공격자에게는 협상할 유인이 없었다. 자금은 며칠 안에 표준적인 세탁 경로를 통해 이동했다. 브릿지를 통한 체인 간 이동, 동결에 저항하는 자산으로의 전환, 그리고 믹싱 서비스를 통한 최종 출금이 신속하게 이루어졌다. 프로토콜이 신뢰할 만한 바운티를 제안할 수 있었을 시점에는 이미 자산이 부분 반환이 가능한 형태로 남아 있지 않았다.
이것은 공격자의 정체에 관한 사실로, 업계가 아직 충분히 소화하지 못한 부분이다. DeFi 익스플로잇의 회수 가능성은 누가 저질렀느냐에 크게 좌우된다. 신원 노출을 두려워하는 기회주의적 공격자는 바운티 제안을 수락할 강한 이유가 있다. 외화 수입을 운영 목표로 삼는 국가 연계 행위자에게는 그런 이유가 없다. 신속한 세탁 출구의 기대값이 거의 전액에 가까운 바운티를 제외한 어떤 협상안의 기대값보다도 높다.
익스플로잇에서 서비스 종료까지, 14개월
대형 익스플로잇을 당하고도 즉사하지 않은 프로토콜은 독특한 상태에 놓인다. 컨트랙트는 여전히 작동한다. 일부 사용자도 남아 있다. 청산도 계속 일어난다. 그러나 프로토콜은 대차대조표에 이미 알려진 구멍을 안고, 훼손된 신뢰 프리미엄 속에서 운영된다. 이때 관건은 새로운 활동 — 수수료, 예치금, 통합 — 을 충분히 창출해 지급 능력을 자력으로 회복하거나, 그 구멍을 메우려는 외부 자본을 유치할 수 있느냐다.
공개된 소통과 온체인 데이터를 통해 재구성된 Radiant의 이 기간 행보는 익숙한 패턴을 따랐다. 익스플로잇 직후 팀은 피해 마켓을 일시 중단하고 포렌식 타임라인을 공개했다. 피해를 입지 않은 마켓에서의 출금은 계속됐다. 사건 이전 수억 달러에 달했던 TVL은 이후 몇 주간 위험 회피 예치자들이 빠져나가면서 급감했다. 남은 TVL의 구성은 잔류 이유가 있는 사용자들 쪽으로 기울었다. 락업 포지션을 가진 토큰 보유자, 탈출이 어려운 차입 포지션을 가진 사용자, 그리고 소수의 진성 신뢰자들이었다.
팀은 여러 재자본화 경로를 모색했다. 공개 논의에서는 시점에 따라 에쿼티 투자 유치, 토큰 기반 재자본화, 다른 프로토콜과의 합병 또는 인수 등이 거론됐다. 어느 것도 성사되지 않았다. 각 방안의 근본적인 문제는 Radiant를 인수하는 비용 — 손실 책임과 손상된 프로토콜 운영 부담을 함께 떠안는 것 — 이 잔여 프랜차이즈 가치를 초과한다는 것이었다. 진지한 제안이 나올 법한 시점이 됐을 때, 크로스체인 머니마켓 카테고리는 경쟁이 심화되어 있었다. 기존의 Aave 배포망과 Morpho의 볼트 아키텍처 같은 신규 진입자들이 기관 유동성의 대부분을 흡수하고 있었다.
얇아진 유동성이 회복 시도에 미치는 영향
손상된 머니마켓에는 잘 알려지지 않은 자기강화적 역학이 존재한다. TVL이 줄어들면, 대규모 운영 시 잘 작동하던 금리 모델이 나쁜 결과를 낳기 시작한다. 대규모 예치나 출금 하나하나에 활용률이 더 격렬하게 요동친다. 금리 급등이 잦아지고, 이는 새 예치자를 쫓아내며, 이것이 다시 유동성을 더 얇게 만든다. 변동성이 커진 금리에 직면한 차입자들은 포지션을 청산하거나 이전한다. 어떤 단일 사건 때문이 아니라, 소규모 머니마켓을 운영하는 경제성이 신뢰 결핍을 고려하기도 전에 이미 매력적이지 않기 때문에 풀이 공허한 균형을 향해 표류한다.
Radiant의 TVL은 2025년 내내 꾸준히 하락했다. 서비스 종료 발표가 나왔을 때, 프로토콜은 익스플로잇 이전 규모의 일부에 불과한 수준으로 운영되고 있었다. 서비스 종료 결정은 어떤 의미에서 대차대조표가 이미 내린 결론을 공식화한 것이었다.
이 사건이 보험과 복원력에 대해 드러내는 것
DeFi는 수년에 걸쳐 프로토콜 수준의 보험 프리미티브를 구축해왔다. Nexus Mutual, 각종 커버 프로토콜, 그리고 Aave의 세이프티 모듈 같은 프로토콜 자체 안전장치들이 그것이다. Radiant의 붕괴는 이러한 메커니즘이 실제로 검증될 때 무엇을 제공하는지 살펴보기 위한 유용한 사례다.
Radiant에는 Aave의 세이프티 모듈에 준하는 안전망이 없었다. 준비금은 운영 연속성을 위해 설계된 것으로, 꼬리 손실을 흡수할 규모가 아니었다. 이것은 흔한 구성이다. 보수적으로 운영된다고 자처하는 대부분의 대출 프로토콜을 포함해, 대다수 대출 프로토콜은 단일 대형 사건을 흡수할 만한 준비금을 갖고 있지 않다. 암묵적 전제는 컨트랙트는 실패하지 않고 키는 탈취되지 않는다는 것이며, 어떤 잔여 리스크든 예치하면서 이를 암묵적으로 수용한 사용자가 부담한다는 것이다.
외부 커버, 즉 개별 사용자가 외부 뮤추얼을 통해 정책을 구매한 경우, 원칙적으로 피해 사용자에게 지급이 이루어졌을 것이다. 실제로는 DeFi 예치자들 사이의 커버 가입률이 낮다. 주요 대출 프로토콜 TVL의 10%를 훨씬 밑도는 경우가 대부분이다. 보험료 비용이 예치의 동기가 된 수익률을 상당히 갉아먹기 때문이다. Radiant에서 손실을 입은 사용자들은 대부분 외부 커버 없이 피해를 고스란히 받았다.
업계가 해결하지 못한 비대칭성
Radiant 사건이 명확히 드러낸 DeFi 손실 분배의 구조적 비대칭성이 있다. 프로토콜 성공의 상방 이익은 토큰 보유자, 팀 배분, 초기 사용자가 가져간다. 치명적 실패의 하방 손실은 사건 발생 시점의 예치자들이 주로 떠안는다. 이를 대칭화할 수 있는 메커니즘들 — 충분한 규모의 세이프티 모듈, 예치에 번들된 의무 보험, 또는 후순위 트랜치를 갖춘 트레저리 구조 — 은 개념적으로는 존재하지만, 실제로 프로토콜을 끝내는 희석 없이 5천만 달러의 손실을 감당할 형태로 배포된 사례는 거의 없다.
이 비대칭성은 DeFi 머니마켓에서 수익률을 평가하는 예치자들에게 시사하는 바가 있다. 신용 리스크, 유동성 리스크, 스마트 컨트랙트 리스크를 보상하는 대출 금리는, 치명적 손실이 뒷받침되지 않는 세계와 그것이 뒷받침되는 세계에서 구조적으로 달라야 한다. 현재 시장은 이를 프로토콜 간에 일관되게 가격에 반영하지 않고 있다.
이전 사건들과의 비교
Radiant의 결말이 왜 과거 고프로파일 익스플로잇들과 달라졌는지 정확히 짚어볼 필요가 있다.
| 사건 | 손실 규모 (추정) | 공격자 유형 | 결과 |
|---|---|---|---|
| Euler (2023) | ~1억 9,700만 달러 | 기회주의적, 온체인 식별 가능 | 협상으로 대부분 반환 |
| Mango Markets (2022) | ~1억 1,400만 달러 | 공개 행위자, 거버넌스 공격 | 거버넌스 합의로 부분 반환 |
| Cream Finance (복수, 2021) | 누적 ~1억 3,000만 달러 | 혼합 | 축소 규모로 운영 지속 후 자연 소멸 |
| Radiant (2024) | ~5,000만 달러 | 국가 연계, 키 침해 | 약 14개월 후 서비스 종료 |
패턴은 명확하다. 손실의 달러 규모보다 공격자의 정체와 동기가 회복 가능 여부를 더 크게 결정했다. 온체인 소통으로 접근 가능하고 어떤 형태의 합의에든 그럴 법한 이해관계가 있는 공격자가 있는 경우 부분 회수가 이루어졌다. 구축된 세탁 인프라를 가진 전문 행위자인 경우에는 그렇지 않았다.
크로스체인 머니마켓 설계를 위한 교훈
Radiant의 실패 방식에서 도출되는 몇 가지 설계적 함의가 있으며, 이는 해당 프로토콜에만 국한되지 않는다.
첫 번째는 특권 역할의 세분화에 관한 것이다. 여러 체인의 풀 파라미터를 단일 멀티시그가 통제하면 키 침해의 파급 효과가 집중된다. 하나의 서명 이벤트로 여러 배포의 풀을 재설정할 수 없도록 관리 권한을 분산했다면, 소셜 엔지니어링 공격 자체를 막지는 못했더라도 피해 범위를 제한했을 것이다. 일부 신규 대출 프로토콜들은 이미 이 방향으로 움직이고 있다. 온체인 거버넌스를 통해 파라미터 변경이 이루어지는 불변 풀 컨트랙트를 사용하거나, 공식적인 크로스체인 조정을 갖춘 체인별 독립 관리 방식을 채택하는 형태다.
두 번째는 멀티시그 서명자를 위한 검증 채널에 관한 것이다. Radiant 공격과, 유사한 메커니즘으로 뒤따른 Bybit 공격은 서명 인터페이스가 공격 면의 일부이며 표시 내용을 신뢰할 수 없다는 것을 입증했다. 대응책은 구조적이어야 한다. 모든 서명자는 공격자가 침해하지 않은 환경 — 이상적으로는 호출 중인 특정 컨트랙트에 대해 calldata를 인간이 읽을 수 있는 형태로 표시하는 하드웨어 장치 — 을 사용해 트랜잭션 페이로드를 독립적으로 디코딩해야 한다. 이를 위한 툴링은 존재하지만 도입은 더디다.
세 번째는 크로스체인 유동성과 크로스체인 리스크의 관계에 관한 것이다. 체인 간 유동성 통합은 자본 효율성 측면에서 진정한 가치가 있다. 그러나 동시에 특정 배포에서의 개별 사건을 프로토콜 전체의 사건으로 전환시킨다. 메시징 레이어나 관리 레이어가 여러 배포를 연결하고 있다면, 하나의 배포에서의 침해가 다른 체인의 풀을 고갈시킬 수 있다. 자본 효율성의 이득이 상관 실패의 비용을 정당화하는지는 크로스체인 대출 프로토콜들이 명시적으로 꼬리 리스크 증가를 가격에 반영하지 않은 채 대체로 긍정적으로 답해온 설계 질문이다.
충분한 준비금이 실제로 어떤 모습이어야 하는지
꼬리 사건을 진정으로 대비하려는 머니마켓은 평균적인 운영 필요가 아닌, 가능한 최악의 손실 규모에 맞춰 준비금을 설계해야 한다. 수억 달러의 TVL을 가진 프로토콜이라면, 이는 수천만 달러 규모의 세이프티 모듈을 의미하며, 프로토콜 토큰 가치를 파괴하지 않고도 청산할 수 있는 구조여야 한다. Aave의 세이프티 모듈이 주요 대출 프로토콜 중 이 설계에 가장 근접해 있으며, 거기서조차 충분히 대규모의 사건이 발생할 경우 stkAAVE 가치의 나선형 하락 없이 이를 감당할 수 있는지는 아직 극한까지 검증되지 않았다.
규모가 작거나 신규인 프로토콜에게 솔직한 입장은 아마도 이러한 준비금이 없으며, 예치자들이 그 사실을 가격에 반영해야 한다는 것이다. Radiant 사례는, 적절한 규모의 안전망 없이 운영되다가 정교한 공격자의 표적이 된 프로토콜이 살아남지 못할 확률이 낮지 않음을 시사한다. 그리고 이 확률은 대부분의 예치자가 사용하는 표면적인 수익률 비교에는 나타나지 않는다.
시사점과 열린 질문들
Radiant의 서비스 종료는 하나의 프로토콜 이야기로 읽기보다, DeFi 익스플로잇의 회복 분포에 관한 하나의 데이터 포인트로 읽어야 한다. 지난 몇 년간 Euler, Poly Network 반환, 여러 소규모 바운티 합의 등 놀랍도록 유리한 결과를 낳은 사건들의 표본이 쌓이면서, 업계의 기대가 실제 메커니즘이 뒷받침하지 않는 방식으로 형성됐을 수 있다. 회복은 접근 가능하고 동기를 가진 공격자, 그리고 수개월간의 협상을 버텨낼 수 있는 프로토콜 대차대조표라는 조건을 갖출 때만 가능하다. 이 두 조건 어느 것도 보장되지 않으며, 국가 연계 공격자의 경우 첫 번째 조건은 구조적으로 부재한다.
이로부터 추적할 가치가 있는 몇 가지 질문이 제기된다. 깔끔한 실패 사례를 통해 비대칭성이 드러난 지금, 보험 가입률이 높아질 것인가. 크로스체인 머니마켓이 체인별로 격리된 리스크 경계로 이동할 것인가, 아니면 자본 효율성의 논리가 계속 지배할 것인가. 소규모 프로토콜들에도 세이프티 모듈이 표준이 될 것인가, 아니면 업계가 대형 프로토콜만 믿을 만한 안전망을 갖추고 나머지에서는 예치자가 암묵적으로 더 높은 꼬리 리스크를 감수하는 계층화 구조로 안착할 것인가. 특권 관리 키를 가진 프로토콜에서 표시 계층 침해에 대응하는 서명 툴링이 의무화될 것인가.
더 조용한 질문도 있다. 회복 불가능한 수준으로 손상됐지만 완전히 파괴되지는 않은 프로토콜에 적절한 처신이 무엇인가 하는 것이다. Radiant가 선택한 서비스 종료 경로 — 질서 있는 종료, 잔여 포지션 정산, 남아 있는 자산의 예치자 반환 — 는 소규모 운영을 무기한 이어가는 대안보다 책임감 있는 선택이다. 그러나 피해 사용자들이 미래의 재자본화를 통해 피해가 보전되기를 기대해온 손실을 공식화하는 것이기도 하다. 그 결과의 공정성은 팀이 외부에 드러난 것보다 더 적극적으로 협상했는지, 외부 인수자가 현실적인 선택지였는지, 잔여 트레저리가 토큰 보유자가 아닌 사용자를 위해 사용됐는지에 달려 있다.
이 질문들에 대한 명확한 공개 답변은 없으며, 앞으로도 나오지 않을 가능성이 높다고 우리는 본다. Radiant 사건이 제공하는 것은 프로토콜 복원력의 요건에 대한 상당히 명확한 기준점이다. 가능한 최악의 손실에 맞게 설계된 준비금, 단일 침해가 치명적이지 않을 만큼 좁은 관리 면, 인터페이스가 적대적이라고 가정하는 서명 관행, 그리고 모든 공격자가 협상 테이블에 앉을 수 있는 상대는 아니라는 냉정한 인식. 이 조건들을 충족하는 프로토콜은 Radiant를 끝낸 것과 같은 사건에서 살아남을 것이다. 현재 이 조건들을 충족하는 프로토콜은 대부분이 아니다.
はじめに
2024年10月、Radiant Capital——当時はArbitrum、BNBチェーン、Ethereumメインネット、Baseにデプロイされた、規模の大きいクロスチェーン・マネーマーケットのひとつ——は、マルチシグの複数署名者の秘密鍵を侵害する精巧な攻撃によって約5,000万ドルを失った。プロトコルは直後の危機を生き延びた。フォレンジックレポートを公開し、攻撃者と交渉を開始し、チームが資本再構成の道を探る間も縮小した状態で運営を続けた。それからおよそ14ヵ月後、2025年末にRadiantはサービスを終了すると発表した。
ここで問うべきは、ハックがどのように起きたかではない——フォレンジックの詳細は何ヵ月も前から公開されている。問題は、比較可能あるいはそれ以上の規模の被害を受けた他のプロトコルがシャットダウンに至らなかった中、なぜこの特定のエクスプロイトがプロトコルの回復を構造的に不可能にしたのか、という点だ。Eulerは交渉を通じて1億9,700万ドルの損失のほぼ全額を取り戻した。Mango Marketsは再編した。Cream Financeですら、複数回のエクスプロイト後もかろうじて存続した。Radiantはそうならなかった。
その答えは三つの層からなると我々は考える。第一は、クロスチェーン・レンディングプロトコルが持つアタックサーフェスの形状——シングルチェーンのマネーマーケットと比べて実質的に広い。第二は、損失の構成：どのユーザーがそれを負担したか、そしてプロトコルがそれを社会化あるいは返金するための手段を持っていたかどうか。第三は、2024年から2025年にかけての市場環境——被害を受けたDeFiプロトコルへの資本再注入に対する意欲が、2021年から2022年の時代と比べて著しく薄れていた。これらを組み合わせれば、Radiantの結末だけでなく、どのプロトコルが大規模なエクスプロイトを生き延びられるか、そうでないかに関するより普遍的な主張が説明できる。
攻撃面となったアーキテクチャ
Radiantはクロスチェーン・マネーマーケットとして設計され、当初はArbitrumで稼働し、その後BNBチェーン、Ethereum、Baseに拡張された。対応チェーン上のユーザーは誰でも担保を預け込んで資産を借り入れることができ、流動性はLayerZeroのメッセージングプリミティブを通じてチェーン間でルーティングされた。各デプロイメントに流動性を分散させるのではなく、チェーンをまたいでプールするという設計思想はDeFiにおいて繰り返し追求されてきた目標であり、Radiantはレンディングの文脈でそれを実現しようとした最も注目された試みのひとつだった。
その野心のアーキテクチャ上のコストは、より広いトラストサーフェスだ。EthereumメインネットのAaveのようなシングルチェーンのマネーマーケットには、コントラクトのアップグレードキーとリスクパラメータ管理者があり、それが特権サーフェスの概ねの境界となる。クロスチェーンのマネーマーケットはそれらすべてをチェーンごとに複製した上に、チェーン間のメッセージング設定、そしてすべてのデプロイメントにわたってプールごとのパラメータを管理するキーが加わる。特権ロールのひとつひとつが標的の候補となる。
Radiantの場合、プロトコルはプール設定の変更を管理するためにマルチシグの署名者に依存していた。2024年10月の攻撃は、レンディングのロジックにバグを発見するという意味でのスマートコントラクト破壊ではなかった。署名者そのものを標的にしたのだ。複数の分析が北朝鮮系グループとしている攻撃者は、数ヵ月にわたるソーシャルエンジニアリングとマルウェアのキャンペーンを通じて、複数の署名者のデバイスを侵害したと見られる。それらの署名者が日常的なプール設定変更トランザクションを承認しようとした際、マルウェアは実際に署名されている内容に対して署名インターフェース上に表示される内容を改ざんした。署名者たちは無害な管理上の呼び出しを承認していると信じていたが、実際にはプールコントラクトの管理権限の移転を承認していた。
管理権限を取得すると、攻撃者は対象となったプールにまたがって預け入れられた資産の一部を引き出せるようになった。チェーンをまたいだ損失の総額はおよそ5,000万ドルに上ったが、正確な数字はその後数週間にわたって回収分と端数の調整を経て変動した。
「マルチシグ」は聞こえほど安全ではない
Radiantの事案は2024年に相次いだいくつかの事例の一つ——2025年初頭のBybitの事案も非常によく似たパターンをたどった——であり、マルチシグのセキュリティについて業界の語り方を改める必要を示している。3-of-5や4-of-7のマルチシグは、単一のキーが侵害されることや、単一の不誠実な署名者からは保護する。しかし署名インターフェース自体に対する協調的なサプライチェーン攻撃には対応できない。各署名者が同じ侵害されたディスプレイを確認しているからだ。
つまり署名者たちは従来の意味では不注意だったわけではない。彼らはトランザクションを確認した。だが彼らが確認したトランザクションは、署名したトランザクションではなかった。この種の攻撃に対する防御策は、署名者を増やすことではなく、攻撃者が侵害していない別のチャネルを通じてトランザクションのペイロードを独立して検証することだ。——つまり、エアギャップされた別のデバイスを使って署名前にコールデータをデコードして確認するという手法。このプラクティスはRadiantの攻撃時にも標準となっておらず、今なお普及しているとは言えない。
損失がバランスシートに与えた影響
マネーマーケットのバランスシートには特定の構造がある。貸し手は資産を預け入れ、利息付きのレシートトークンを受け取る。借り手は担保を差し入れて債務を引き出す。プロトコルの支払能力の条件は、担保と準備金の価値が未払い債務の価値を上回ることだ。エクスプロイトが資産を流出させた場合、誰が損失を負担するかは、流出した資産がそのバランスシートのどちら側に存在していたかによって完全に決まる。
Radiantの場合、流出した資産にはプールされた貸し手の預け入れ資産が含まれていた。これは誠実な回復にとって最悪の構成だ。損失が、プロトコルが招待したとおりのことをしていたユーザー——つまり受動的な貸し出し——に降りかかるからだ。レバレッジドの借り手が暗黙のうちにリスクを取るのとは異なり、彼らが意図してそのリスクを引き受けたとは言えない。回復に向けたいかなる道筋も、どこかからそれらの貸し手に返金するか、レシートトークンのライトダウンを通じて残存預け入れ者に損失を分担させるかのどちらかを迫られる。
Radiantの準備金と財務省は損失を直接補填するには不十分だった。ネイティブトークンのRDNTにはガバナンスと手数料取得の機能があったが、当時の価格で5,000万ドルの打撃を吸収できるだけのバランスシート上の残高はなかった。仮にチームが歴史的にいくつかのプロトコルが行ってきたように追加RDNTをミントしてギャップを埋める意思があったとしても、そのために必要な希薄化はトークンの市場価値を崩壊させ、返金をほとんど名目上のものにしてしまった可能性が高い。
実現しなかった交渉
いくつかの高知名度のDeFiエクスプロイトでは、回復は内部準備金ではなく攻撃者との交渉から生まれた。2023年のEulerの回復は広範なオンチェーンでのコミュニケーションを経て、最終的にバウンティの取り決めによって実現した。より小規模のエクスプロイトのいくつかは、攻撃者が一定割合を保持しつつ追訴しないという公的なコミットメントと引き換えに大部分の資金を返却する形で解決している。
Radiantにはその道がなかった。複数のフォレンジックチームが国家関係グループと特定した攻撃者には交渉する動機がなかった。資金は数日以内に標準的なマネーロンダリングのパイプライン——ブリッジを使ったチェーンホッピング、凍結が困難な資産への転換、そして最終的にはミキシングサービスを通じた出口——を経て移動された。プロトコルが信頼性のあるバウンティを提示できたかもしれない時点では、資産はすでに部分的な返還が実務上意味をなさない形になっていた。
これは攻撃者の素性に関する特徴であり、業界はまだ十分に咀嚼できていない。DeFiエクスプロイトの回収可能性は、誰が実行したかに強く左右される。特定を恐れる管轄から活動している日和見的な攻撃者には、バウンティのオファーに応じる強い動機がある。外貨収入を作戦目標とする国家関連のアクターにはない。素早いマネーロンダリング出口の期待値が、損失のほぼ全額に近いバウンティを除くいかなる提案の期待値をも上回る。
エクスプロイトからサービス終了までの14ヵ月
大規模なエクスプロイトを受けて即座に倒れなかったプロトコルは独特の状態に入る。コントラクトはまだ機能している。一部のユーザーは残っている。清算は依然として起きる。だがプロトコルはバランスシートに既知の穴を抱え、信頼プレミアムが低下した状態で運営されている。問いは、穴を埋めるのに十分な新規アクティビティ——手数料、預け入れ、インテグレーション——を生み出せるか、あるいは穴を埋めることをいとわない外部資本を引き付けられるかどうかになる。
公開されたコミュニケーションとオンチェーンデータから再構成すると、Radiantのこの状態における歩みは見慣れたパターンをたどった。エクスプロイト直後、チームは影響を受けたマーケットを一時停止し、フォレンジックのタイムラインを公開した。影響を受けていないマーケットからの引き出しは継続された。インシデント前は数億ドル規模だったTVLは、その後数週間でリスクを嫌う預け入れ者の退出とともに急落した。残存するTVLの構成は、留まる理由のあるユーザー——ロックされたポジションを持つトークン保有者、容易に退出できない借り入れを持つユーザー、そして真の信奉者のわずかな残滓——へとシフトした。
チームは複数の資本再構成の道を探った。さまざまな時点での公開討議では、エクイティ投資、トークンベースの資本再構成、そして別のプロトコルによるM&Aの可能性が言及された。いずれも実現しなかった。各ケースにおける根本的な問題は、Radiantの獲得コスト——損失に対する負債を引き受け、被害を受けたプロトコルの運営負担を受け入れること——が残存するフランチャイズ価値を上回っていたことだ。真剣なオファーが生まれうる頃には、クロスチェーンのマネーマーケットカテゴリーの競争は激化しており、確立されたAaveのデプロイメントやMorphoのボールトアーキテクチャのような新規参入者が機関資金の大部分を吸収していた。
流動性の枯渇が回復の試みに与える影響
毀損したマネーマーケットには自己強化的なダイナミクスがあり、それは十分に認識されていないと我々は考える。TVLが低下するにつれて、スケールが大きい時に機能していた金利モデルは悪化した結果をもたらす。大口の預け入れや引き出しのたびに稼働率が激しく変動する。金利スパイクの頻度が高まり、新規預け入れ者を遠ざけ、流動性がさらに薄くなる。変動する金利に直面した借り手はポジションを閉じるか移行する。プールは単一のイベントによってではなく、信頼の赤字を考慮する以前から、スケールの小さいマネーマーケットを運営する経済的メリットがないという理由で空の均衡へと漂流する。
Radiantのリスクは2025年を通じて着実に低下した。サービス終了の発表が出た時点で、プロトコルはエクスプロイト前の規模のほんの一部で運営されていた。サービス終了の決断はある意味、バランスシートがすでに到達していた結論を正式に認めることだった。
この結末が保険とレジリエンスについて明らかにすること
DeFiはここ数年、プロトコルレベルの保険プリミティブ——Nexus Mutual、各種カバープロトコル、そしてAaveのセーフティモジュールのようなプロトコルネイティブな安全装置——を構築してきた。Radiantの崩壊は、これらのメカニズムが実際にテストされた際に何をもたらすかを検証する上で有益なケースとなる。
RadiantにはAaveのようなスケールのセーフティモジュール相当のバックストップがなかった。プロトコルの準備金は事業継続のためのサイズに設計されており、テールリスクの損失を吸収するためではなかった。これは一般的な構成だ：大半のレンディングプロトコルは、保守的に運営されていると自称するものを含め、単一の大規模インシデントを吸収するのに十分な準備金を保有していない。暗黙の前提はコントラクトが失敗せず鍵が侵害されないことであり、残存するリスクは預け入れを通じて暗黙のうちに受け入れたユーザーが負担するというものだ。
外部カバー——ユーザーが外部のミューチュアルを通じて個別にポリシーを購入したケース——は原則として被害を受けたユーザーへの支払いが行われるはずだった。現実には、DeFi預け入れ者のカバー加入率は低いまま——主要なレンディングプロトコルのTVLの10%を大幅に下回るのが通例——だ。プレミアムコストが、そもそもの預け入れの動機となった利回りを著しく圧縮するからだ。Radiantで損失を被ったユーザーの大半は、外部カバーなしにそれを受け入れた。
業界が解決していない非対称性
Radiantの事例が明示的にしたのは、DeFiにおける損失分配の構造的な非対称性だ。プロトコルの成功からの上昇益はトークン保有者、チームへのアロケーション、そして初期ユーザーが享受する。壊滅的な失敗からの下落損はイベント時点の預け入れ者が主に負担する。これを対称化できるメカニズム——十分な資金が充当されたセーフティモジュール、預け入れに組み込まれた強制保険、または劣後トランシェを持つ財務構造——は概念的には存在するが、プロトコルを終わらせるような希薄化なしに5,000万ドルの損失を実際にカバーできる形で展開されることはほとんどない。
この非対称性は、預け入れ者がDeFiマネーマーケットの利回りをどう評価すべきかに示唆を与える。壊滅的な損失がバックストップされない世界でのクレジットリスク、流動性リスク、スマートコントラクトリスクを補償するレンディングレートは、それらがバックストップされる世界でのレートと構造的に異なる。市場は現状、プロトコルをまたいでこれを一貫した形で価格付けしていない。
先行する事案との比較
Radiantの結末が以前の高知名度エクスプロイトと異なる理由を正確に整理しておく価値がある。
| 事案 | 概算損失 | 攻撃者のプロフィール | 結末 |
|---|---|---|---|
| Euler（2023年） | 約1億9,700万ドル | 日和見的、オンチェーンで識別可能 | 交渉を通じてほぼ全額返還 |
| Mango Markets（2022年） | 約1億1,400万ドル | 公開された行為者、ガバナンス攻撃 | ガバナンスによる和解を通じた一部返還 |
| Cream Finance（複数回、2021年） | 累計約1億3,000万ドル | 混在 | 縮小した規模で存続し、最終的に自然消滅 |
| Radiant（2024年） | 約5,000万ドル | 国家関連、鍵の侵害 | 約14ヵ月後にサービス終了 |
パターンとして浮かび上がるのは、攻撃者の素性と動機——損失の金額の大小よりも——が回復可能かどうかを決定したという点だ。攻撃者がオンチェーンのコミュニケーションで接触可能であり、何らかの形の和解に実質的な関心を持っていた場合、部分的な回復が実現した。攻撃者が確立されたマネーロンダリングのインフラを持つプロフェッショナルなアクターだった場合は、そうならなかった。
クロスチェーン・マネーマーケット設計への教訓
Radiantの失敗の経緯からはいくつかの設計上の示唆が導かれ、それは特定のプロトコルを超えて広く適用できる。
第一は、特権ロールの粒度に関するものだ。複数のチェーンにわたってプールパラメータを制御する単一のマルチシグは、鍵の侵害の結果を集中させる。単一の署名イベントがデプロイメントをまたいでプールを再設定できないよう管理権限を分割しても、ソーシャルエンジニアリング攻撃そのものを防ぐことはできなかっただろうが、爆発半径を限定できたはずだ。いくつかの新しいレンディングプロトコルは、正式なクロスチェーン調整を伴うチェーンごとの管理か、マルチシグではなくオンチェーンガバナンスを通じてパラメータ変更をルーティングするイミュータブルなプールコントラクトを採用することで、このパターンへと移行している。
第二は、マルチシグ署名者の検証チャネルに関するものだ。Radiantの攻撃——そしてそれに続く同様のメカニズムを用いたBybitの攻撃——は、署名インターフェースがアタックサーフェスの一部であり、署名される内容を正確に表示しているとは信頼できないことを示した。緩和策は構造的なものだ：すべての署名者は、攻撃者が侵害していない環境——理想的には呼び出されるコントラクルについてコールデータを人間が読める形式で表示するハードウェアデバイス——を使って独立してトランザクションペイロードをデコードすべきだ。そのツールは存在するが、導入は遅れている。
第三は、クロスチェーンの流動性とクロスチェーンのリスクの関係に関するものだ。チェーンをまたいで流動性をプールすることは資本効率の観点から真に有益だが、それはチェーンごとに隔離されたインシデントをプロトコル全体に及ぶイベントへと変換する。メッセージングレイヤーや管理レイヤーがそれらをつなぎ合わせている場合、あるデプロイメントでの侵害が他のチェーンのプールを流出させうる。資本効率のメリットが相関障害コストを正当化するかどうかは設計上の問いであり、クロスチェーン・レンディングプロトコルは一般的に増大したテールリスクを明示的に価格付けすることなく肯定的に答えてきた。
十分な準備金が実際にはどのようなものか
テールイベントを真の意味でバックストップしたいマネーマーケットは、平均的な運営ニーズではなく、もっともらしい最悪ケースの損失に見合った準備金を必要とする。TVLが数億ドルのプロトコルなら、プロトコルトークンの価値を破壊することなく清算できる形で構成された、数千万ドル規模のセーフティモジュールが示唆される。AaveのセーフティモジュールはAaveのようなレンディングプロトコルの中でこの設計に最も近いが、そこでさえ十分に大規模なインシデントの際にstkAAVEの価値を螺旋状に下落させることなく対応できるかどうかはまだ限界まで試されていない。
より規模が小さいか新しいプロトコルにとって、正直な立場はおそらく、そのような準備金を持っていないこと、そして預け入れ者はそれを価格に織り込むべきだ、というものだろう。Radiantの事案は、十分なバックストップなしに運営しているプロトコルが高度な攻撃者に狙われた場合、生き残れない確率が相当高いことを示しており、その確率は大半の預け入れ者が使う表面的な利回り比較には表れていない。
示唆と未解決の問い
Radiantのサービス終了は、一つのプロトコルの話としてではなく、DeFiエクスプロイトの回復分布に関するデータポイントとして読まれるべきだ。過去数年間は驚くほど好ましい結果を持つインシデントのサンプルを生み出してきた——Euler、Poly Networkの返還、いくつかの小規模なバウンティ解決——が、それが基礎的なメカニクスの支持する以上の形で業界の期待値を形成してきた可能性がある。回復は、交渉可能で動機を持つ攻撃者と、複数ヵ月にわたる交渉を持ちこたえられるプロトコルのバランスシートの両方を条件とする。どちらの条件も保証されておらず、国家関連の攻撃者の場合、前者は構造的に不在だ。
これはいくつかの追跡に値する問いを提起する。非対称性が明確な失敗ケースによって示された今、保険の加入率が上昇するかどうか。クロスチェーン・マネーマーケットがチェーンごとに隔離されたリスク境界へと移行するか、それとも資本効率の論理が引き続き支配するか。セーフティモジュールが小規模なプロトコルでも標準となるか、それとも業界が大手プロトコルだけが信頼できるバックストップを持ち、預け入れ者が残りに対してより高いテールリスクを暗黙のうちに受け入れるという階層化に落ち着くか。特権的な管理キーを持つプロトコルにとって、表示レイヤーの侵害に対して防御する署名ツールが必須となるか。
損傷を受けたが破壊されてはいないプロトコルにとって適切な在り方とは何か、という静かな問いもある。Radiantが選択したサービス終了の道——秩序ある閉鎖、残存ポジションの決済、残余資産のプロトコルによる残存預け入れ者への返還——は、サブスケールでの無期限運営という代替案よりも責任ある選択だ。しかし、何らかの将来の資本再構成によって損失が回復されることを望んでいた被害ユーザーにとって、それは損失を正式に確定させるものだ。その結果の公正さは、チームが見えていた以上に真剣に交渉していたかどうか、外部の買収者が現実的な選択肢だったかどうか、そして残余財務省がユーザーのために使われたのかトークン保有者のために使われたのかにかかっている。
これらは公に明確な答えの存在する問いではなく、得られるとも思えない。Radiantの事案が提供するのは、プロトコルのレジリエンスが何を必要とするかについての合理的に明確な基準だ：もっともらしい最悪ケースに見合った準備金、単一の侵害が壊滅的にならないほど狭い管理サーフェス、インターフェースが敵対的であることを前提とした署名プラクティス、そしてすべての攻撃者が交渉可能な相手ではないという冷静な認識。これらの条件を満たすプロトコルはRadiantを終わらせたようなインシデントを生き延びられる。現状、大半のプロトコルはそれを満たしていない。
引言
2024 年 10 月，Radiant Capital——彼时一个较大规模的跨链货币市场，已在 Arbitrum、BNB Chain、以太坊主网和 Base 上部署——在一次精密攻击中损失约 5000 万美元。攻击者通过入侵多签持有者的私钥，控制了协议的关键权限。协议挺过了最初的冲击：公开了取证报告，与攻击者展开谈判，并在受损状态下维持运营，同时团队积极探索资本重组方案。约十四个月后，2025 年底，Radiant 宣布关停。
真正值得深究的问题，并非攻击如何发生——取证细节早已公开数月——而是为何这一事件在结构上导致了无法恢复，而其他规模相当乃至更大的事故却并未导致协议关停。Euler 通过谈判追回了约 1.97 亿美元损失中的绝大部分；Mango Markets 完成了重组；就连 Cream Finance 经历多次攻击之后，也蹒跚延续了下去。Radiant 没有。
我们认为答案有三个层面。第一，跨链借贷协议所呈现的攻击面形态，在本质上比单链货币市场宽广得多。第二，损失的承担结构：是哪些用户蒙受了损失，协议是否具备将损失社会化或予以补偿的手段。第三，2024 年至 2025 年更宏观的市场环境——市场对重建受损 DeFi 协议的意愿，相较于 2021—2022 年已大幅萎缩。三者合而观之，不仅解释了 Radiant 的结局，也揭示了一个更普遍的规律：哪类协议有可能在重大攻击后存活，哪类不能。
成为攻击面的架构
Radiant 以跨链货币市场为定位，最初部署在 Arbitrum，后扩展至 BNB Chain、以太坊和 Base。任意支持链上的用户均可存入抵押品并借出资产，流动性通过 LayerZero 的消息原语在各链间路由。这一设计雄心——将流动性跨链聚合而非按部署分散——是 DeFi 领域反复出现的目标，Radiant 是在借贷场景中较为受人关注的实践之一。
然而，这种雄心在架构上的代价是更宽泛的信任面。以太坊主网上的 Aave 这样的单链货币市场，只有合约升级密钥和风险参数管理员，这基本就是特权面的全部边界。而跨链货币市场在此基础上，每条链都要复制这些角色，还额外包含链间消息配置，以及跨所有部署管理各池参数的密钥。每个特权角色都是潜在的攻击目标。
具体到 Radiant，协议依赖一个多签组管理池配置变更。2024 年 10 月的攻击并非通过发现借贷逻辑中的漏洞来破坏智能合约，而是直接针对签名者本身。多项分析将攻击者归因于与朝鲜存在关联的团伙——他们显然通过长达数月的社会工程和恶意软件行动，侵入了多名签名者的设备。当这些签名者在审批一笔常规池配置交易时，恶意软件篡改了签名界面上的显示内容，使其与实际签署的内容不符。签名者以为自己在授权一笔无害的行政操作，实际上却在将池合约的控制权拱手相让。
取得控制权后，攻击者得以跨受影响的池抽取部分存入资产。事后数周内，随着各项回收与零散资产的清算逐步厘清，跨链总损失最终落定在约 5000 万美元。
为何”多签”并非听起来那么安全
Radiant 事件是 2024 年数起同类事件之一——Bybit 事件于 2025 年初以极为相似的方式上演——这些事件理应从根本上改变行业对多签安全性的认知。一个 3/5 或 4/7 多签可以防范单个密钥被泄露，也可以防范单个签名者作恶。但它无法防御针对签名界面本身的协同供应链攻击，因为每位签名者看到的都是同一套被篡改的显示内容。
换言之，签名者并非通常意义上的疏忽大意——他们确实审查了交易。只是他们审查的交易，并不是他们实际签署的交易。防御此类攻击的手段不是增加签名者数量，而是通过一个攻击者尚未入侵的独立信道，对交易载荷进行独立校验。具体而言，就是使用独立的气隙设备在签名前对 calldata 进行解码与确认。这一做法在 Radiant 遭攻击时尚未成为行业标准，至今仍未普及。
损失如何落在资产负债表上
货币市场的资产负债表有其特定结构：贷款方存入资产并获得计息收据代币，借款方提供抵押品并产生债务。协议偿付能力的条件是：抵押品加准备金的价值超过未偿债务的价值。当攻击导致资产被抽干，谁来承担损失，完全取决于被盗资产位于该结构的哪一侧。
在 Radiant 的案例中，被盗资产包含池中的贷方存款。这是诚信恢复最困难的配置，因为损失落在了完全按协议预期行事的用户身上——那些被动出借资产的用户。你无法援引”他们明知风险”这一论据，而这套论据对杠杆借款人至少还有几分说服力。任何恢复路径，要么从某处筹资偿还这些贷方，要么通过收据代币减记将损失社会化，由剩余存款人共同承担。
Radiant 的准备金和国库不足以直接弥补这笔损失。协议的原生代币 RDNT 具备治理和费用捕获功能，但在当时的市价下，其资产负债表头寸远不足以吸收 5000 万美元的冲击。即便团队愿意增发 RDNT 来填补缺口——某些协议历史上确实这样做过——所需的稀释幅度也极可能令代币市值崩塌，使补偿在实质上沦为空谈。
那场未曾发生的谈判
在多起高知名度的 DeFi 攻击事件中，恢复资产的途径并非来自内部准备金，而是来自与攻击者的谈判。2023 年 Euler 事件的资产追回，经历了大量链上沟通，最终通过赏金安排解决。还有若干规模较小的攻击事件，以攻击者保留一定比例并公开承诺不受追究为条件，归还了大部分资金。
这条路对 Radiant 并不适用。被多个取证团队认定为国家背景团伙的攻击者，没有任何谈判的动机。资金在数日内便经由标准洗钱管道处理完毕——跨桥链跳、转换为抗冻结资产，最终通过混币服务出金。待到协议能够可信地提出赏金方案时，资产早已不再处于可以部分归还的状态。
攻击者身份的这一特征，整个行业尚未充分内化。DeFi 攻击的可恢复性，在很大程度上取决于攻击者是谁。一个机会主义攻击者，尤其是在担忧被识别身份的司法管辖区操作的人，有充分的理由考虑赏金提议。一个以外汇收入为运营目标的国家背景行为者则不会。快速完成洗钱出金的预期收益，远超任何低于近乎全额的赏金方案所能提供的预期价值。
从攻击到关停的十四个月
一个遭受重大攻击后未立即崩溃的协议，会进入一种特殊状态：合约仍在运行，部分用户还在，清算仍在发生，但协议带着一个已知的资产负债表漏洞和受损的信任溢价在运转。关键问题变成了：它能否产生足够的新活动——手续费、存款、集成——来通过自我造血恢复偿付能力，或者吸引愿意填补缺口的外部资本？
根据公开通告和链上数据重建的 Radiant 历程，遵循了一个熟悉的轨迹。攻击发生后，团队立即暂停了受影响的市场，并发布了详细的取证时间线。未受影响市场的提款仍可继续。TVL 在事前曾达数亿美元高位，在随后数周内大幅下降，因为规避风险的存款人纷纷离场。剩余 TVL 的构成逐渐向有理由留守的用户倾斜——持有锁仓头寸的代币持有者、难以退出借款的用户，以及少量真正的信仰者。
团队探索了多条资本重组路径。各阶段的公开讨论提及了潜在的股权投资、代币化资本重组，以及与其他协议的合并或收购。没有一条走通。每个方案的根本问题在于：收购 Radiant 的成本——既要承接漏洞对应的负债，又要承担运营一个受损协议的重担——超过了其残余的特许经营价值。当一个认真的方案有可能落地时，跨链货币市场赛道的竞争已经更加激烈，成熟的 Aave 部署和 Morpho 金库架构等新兴竞争者，已吸走了绝大部分机构资金流。
流动性枯竭如何拖垮恢复尝试
受损货币市场中存在一种自我强化的动态，我们认为其被严重低估。随着 TVL 下降，在规模较大时运转正常的利率模型开始产生更差的结果。每笔大额存款或提款都会使资金利用率剧烈波动，利率尖刺愈发频繁，这反过来吓退新存款人，流动性进一步收薄。面对波动利率的借款人要么平仓，要么迁移。资金池向空池均衡漂移，并非源于某个单一事件，而是因为在信任赤字尚未计入之前，运营一个低于规模门槛的货币市场本身在经济上就缺乏吸引力。
2025 年间，Radiant 的 TVL 持续下滑。到关停公告落地时，协议规模已萎缩至攻击前的零头。关停决定，某种程度上不过是将资产负债表早已得出的结论予以正式确认。
这一结局揭示了什么：保险与韧性
DeFi 领域多年来构建了协议层面的保险原语——Nexus Mutual、各类承保协议，以及 Aave 安全模块等协议原生机制。Radiant 的崩溃是一个有价值的测试案例，可用于审视这些机制在真正承压时究竟能兑现什么。
Radiant 没有与 Aave 安全模块相当的兜底机制。协议准备金的规模仅够维持日常运营，而非用于吸收尾部损失。这是一种普遍配置：大多数借贷协议，包括大多数自我标榜保守管理的协议，都没有足以承受单次重大事件的准备金。隐含的假设是：合约不会出错，密钥不会被泄露，任何残余风险由用户通过存款这一行为隐性接受。
第三方承保——用户通过外部互助协议单独购买保单——在理论上可以为受影响用户赔付。但实际上，DeFi 存款人的承保率始终很低，在任何主要借贷协议中通常远低于 TVL 的 10%，原因在于保费会显著侵蚀本来驱动存款的收益。在 Radiant 遭受损失的用户，大多未购买外部保险。
行业尚未解决的不对称性
Radiant 案例使 DeFi 中损失分配的一种结构性不对称得以清晰呈现：协议成功带来的上行收益，由代币持有者、团队分配和早期用户捕获；灾难性失败带来的下行损失，则主要由事件发生时的存款人承担。理论上可以纠正这种不对称的机制——充分注资的安全模块、内嵌于存款的强制保险、或具有劣后分层的国库结构——在概念上都已存在，但很少以能够真正清算 5000 万美元损失而不导致协议级别稀释的形态落地。
这种不对称对存款人评估 DeFi 货币市场收益的方式有深远影响。在灾难性损失没有兜底的世界里，一个补偿信用风险、流动性风险和智能合约风险的借贷利率，与有兜底的世界里的同一利率，在结构上截然不同。目前市场并未在各协议之间对此进行一致定价。
与此前事件的比较
有必要精确说明，Radiant 的结局为何与早期高知名度攻击事件存在偏差。
| 事件 | 大致损失 | 攻击者特征 | 结果 |
|---|---|---|---|
| Euler（2023） | 约 1.97 亿美元 | 机会主义，链上可识别 | 资金基本经谈判追回 |
| Mango Markets（2022） | 约 1.14 亿美元 | 公开身份，治理攻击 | 经治理和解部分归还 |
| Cream Finance（多次，2021） | 约 1.30 亿美元（累计） | 混合类型 | 协议以缩减规模延续，最终逐渐淡出 |
| Radiant（2024） | 约 5000 万美元 | 国家背景，密钥泄露 | 约 14 个月后关停 |
规律显而易见：决定恢复是否可能的，是攻击者的身份与动机，而非损失的美元规模。凡攻击者可通过链上沟通触达、且对某种形式的和解存在合理意愿的，均实现了部分资产追回；凡攻击者是拥有成熟洗钱基础设施的职业行为者的，则无一实现。
对跨链货币市场设计的启示
Radiant 的失败方式揭示了若干设计层面的含义，这些含义的适用范围远超这一个具体协议。
第一，关于特权角色的颗粒度。 一个控制多链池参数的单一多签，将密钥泄露的后果高度集中。若将管理权限拆分，使任何单次签名事件均无法跨部署重新配置所有池，虽不能阻止社会工程攻击本身，但可以大幅限制爆炸半径。一些较新的借贷协议已向这一模式迁移，或通过独立的链上管理加正式的跨链协调机制，或通过不可升级的池合约将参数变更路由至链上治理而非多签。
第二，关于多签签名者的验证信道。 Radiant 攻击，以及随后以相似机制发生的 Bybit 攻击，均证明了签名界面本身是攻击面的一部分，不能依赖其如实展示待签内容。缓解手段在于结构层面：每位签名者都应使用一个攻击者尚未入侵的独立环境对交易载荷进行独立解码，理想情况下使用能以人类可读格式展示目标合约 calldata 的硬件设备。相应的工具已经存在，但普及严重滞后。
第三，关于跨链流动性与跨链风险的关系。 跨链聚合流动性对资本效率而言确实有价值，但它将原本隔离的单链事件转化为全协议范围的事件。若消息层或管理层将各部署绑定在一起，一条链上的泄露可以抽干其他链上的资金池。资本效率的收益是否足以抵消相关失败的代价，是跨链借贷协议普遍需要正面回答的设计问题——而这些协议通常在没有明确定价尾部风险增量的情况下，就给出了肯定的答案。
充足准备金在实践中意味着什么
一个希望真正兜底尾部事件的货币市场，其准备金规模需按合理最坏情形的损失来设计，而非按平均运营需求来设定。对于 TVL 达数亿美元的协议，这意味着安全模块需达到数千万美元量级，且其结构应确保可在不摧毁协议代币价值的前提下完成清算。在主流借贷协议中，Aave 的安全模块是最接近这一设计的，但即便如此，它能否在不引发 stkAAVE 价值螺旋下行的情况下应对足够大规模的事件，依然未经极限考验。
对于规模较小或较新的协议，诚实的立场或许是：它们没有这样的准备金，存款人应将这一点反映在定价中。Radiant 的案例表明，一个没有充足兜底机制的协议，一旦遭遇精密攻击者，有相当大的概率无法存活——而这一概率，并不会出现在大多数存款人赖以决策的表面收益比较中。
启示与待解问题
Radiant 的关停，与其说是一个协议的故事，不如说是 DeFi 攻击事件恢复分布的一个数据点。过去几年涌现出一批结果出人意料地乐观的案例——Euler、Poly Network 归还资金、若干小规模赏金解决——这些案例或许在潜移默化中塑造了一种行业预期，而其背后的底层机制并不支撑这种预期。恢复是有条件的：需要一个可触达且有和解意愿的攻击者，以及一个能在数月谈判期间维持完整性的协议资产负债表。这两个条件都不是必然，而对于国家背景的攻击者，第一个条件在结构上根本不存在。
这引出了若干值得持续追踪的问题：保险覆盖率能否随着这一不对称性通过一次干净的失败案例被清晰展示而提升；跨链货币市场究竟会转向隔离的单链风险边界，还是资本效率的逻辑继续主导；安全模块能否在较小规模的协议中成为标配，还是行业将形成一种分层格局——只有最大的协议才承载可信的兜底，存款人在其余协议中隐性承受更高的尾部风险；针对显示层入侵的签名工具能否成为拥有特权管理密钥的协议的强制要求。
还有一个更深沉的问题：对于一个已损伤至无法恢复但尚未彻底崩溃的协议，正确的处置方式究竟是什么。Radiant 选择的关停路径——有序清算、结清剩余头寸、将协议仍控制的资产归还给剩余存款人——比无限期以萎缩规模维持运营更为负责任，但它也正式确认了那个损失：那些在漫长等待中还抱有通过某次未来资本重组被填补的希望的受影响用户，终于得到了一个明确的否定答案。这一结果是否公正，取决于团队是否进行了外界不可见的更艰难谈判，外部收购方是否是真实可行的选项，以及剩余国库是否切实服务于用户利益而非代币持有者利益。
这些问题没有干净的公开答案，我们也不乐观地认为会有。Radiant 案例所提供的，是一个关于协议韧性的相当清晰的基准：准备金规模需按合理最坏情形来设定，管理面需足够收窄以确保任何单次入侵都不具有毁灭性，签名实践需以界面本身可能已被敌对为前提，还需清醒地认识到——并非每一个攻击者都是协议能够坐下来谈判的对象。满足这些条件的协议，能够在 Radiant 式的攻击中存活。而目前满足这些条件的协议，寥寥无几。
Introducción
En octubre de 2024, Radiant Capital —por aquel entonces uno de los mercados monetarios cross-chain más grandes, con despliegues en Arbitrum, BNB Chain, Ethereum mainnet y Base— perdió aproximadamente 50 millones de dólares en un ataque sofisticado que comprometió las claves privadas de varios firmantes de su multisig. El protocolo sobrevivió al impacto inmediato. Publicó un informe forense, abrió negociaciones con el atacante y continuó operando en modo degradado mientras el equipo exploraba vías de recapitalización. Cerca de catorce meses después, a finales de 2025, Radiant anunció su cierre definitivo.
La pregunta interesante no es cómo ocurrió el hackeo —los detalles forenses llevan meses siendo públicos— sino por qué este exploit en particular resultó estructuralmente irrecuperable cuando incidentes comparables o mayores en otros protocolos no terminaron en cierre. Euler recuperó prácticamente la totalidad de una pérdida de 197 millones mediante negociación. Mango Markets se reestructuró. Incluso Cream Finance, tras múltiples exploits, siguió adelante como pudo. Radiant no.
Creemos que la respuesta tiene tres capas. La primera es la forma específica de la superficie de ataque que presenta un protocolo de préstamos cross-chain —una superficie materialmente más amplia que la de un mercado monetario de cadena única. La segunda es la composición de la pérdida: qué usuarios la soportaron y si el protocolo tenía los mecanismos para socializarla o reembolsarla. La tercera es el contexto de mercado de finales de 2024 y 2025, en el que el apetito por recapitalizar protocolos DeFi dañados se había reducido considerablemente respecto a la era 2021–2022. En conjunto, estos factores explican no solo el desenlace de Radiant, sino también algo más general: qué protocolos tienen probabilidades de sobrevivir a un exploit mayor y cuáles no.
La arquitectura que se convirtió en superficie de ataque
Radiant fue construido como un mercado monetario cross-chain, originalmente en Arbitrum y posteriormente extendido a BNB Chain, Ethereum y Base. Los usuarios de cualquier cadena compatible podían depositar colateral y tomar préstamos, con liquidez enrutada entre cadenas mediante las primitivas de mensajería de LayerZero. La ambición de diseño —agrupar liquidez entre cadenas en lugar de fragmentarla por despliegue— es un objetivo recurrente en DeFi, y Radiant fue uno de los intentos más visibles de materializarlo en un contexto de préstamos.
El coste arquitectónico de esa ambición es una superficie de confianza más amplia. Un mercado monetario de cadena única como Aave en Ethereum mainnet tiene una clave de actualización de contratos, un administrador de parámetros de riesgo, y ese es aproximadamente el perímetro de la superficie privilegiada. Un mercado monetario cross-chain tiene todo eso, replicado por cadena, más la configuración de mensajería entre cadenas, más las claves que administran los parámetros pool por pool en cada despliegue. Cada rol privilegiado es un objetivo potencial.
En el caso de Radiant, el protocolo dependía de un multisig de firmantes para administrar los cambios de configuración de los pools. El ataque de octubre de 2024 no rompió un contrato inteligente en el sentido de encontrar un error lógico en la matemática de los préstamos. Apuntó directamente a los firmantes. El atacante —atribuido por múltiples análisis a un grupo alineado con Corea del Norte— parece haber utilizado una campaña de ingeniería social y malware de varios meses de duración para comprometer los dispositivos de varios firmantes. Cuando esos firmantes fueron a aprobar una transacción rutinaria de configuración del pool, el malware alteró lo que se mostraba en la interfaz de firma respecto a lo que se firmaba realmente. Los firmantes creyeron estar autorizando una llamada administrativa inocua; en realidad, estaban autorizando una transferencia de control sobre los contratos del pool.
Una vez obtenido el control, el atacante pudo vaciar una parte de los activos depositados en los pools afectados. La pérdida total entre cadenas ascendió a aproximadamente 50 millones de dólares, aunque la cifra exacta fue variando a medida que se reconciliaron recuperaciones y residuos en las semanas posteriores.
Por qué el “multisig” no es la salvaguarda que parece
El incidente de Radiant es uno de varios ocurridos en 2024 —el incidente de Bybit a principios de 2025 siguió un patrón muy similar— que deberían reformular la manera en que la industria habla de seguridad multisig. Un multisig 3 de 5 o 4 de 7 protege contra una clave única comprometida y contra un firmante deshonesto. No protege contra un ataque coordinado a la cadena de suministro de la propia interfaz de firma, porque cada firmante está verificando la misma pantalla comprometida.
Los firmantes, en otras palabras, no fueron descuidados en el sentido convencional. Revisaron las transacciones. Las transacciones que revisaron no eran las transacciones que firmaron. La defensa contra esta clase de ataque no consiste en tener más firmantes; consiste en la verificación independiente de los payloads de las transacciones a través de un canal que el atacante no haya comprometido también. Esa práctica —usar un dispositivo separado y aislado para decodificar y confirmar el calldata antes de firmar— no era estándar en el momento del ataque a Radiant y aún no es universal.
Cómo aterrizó la pérdida en el balance
El balance de un mercado monetario tiene una estructura específica. Los prestamistas depositan activos y reciben tokens de recibo que generan intereses. Los prestatarios aportan colateral y contraen deuda. La condición de solvencia del protocolo es que el valor del colateral más las reservas supere el valor de la deuda viva. Cuando un exploit vacía activos, la pregunta de quién soporta la pérdida depende enteramente de qué lado de ese balance estaban los activos drenados.
En el caso de Radiant, los activos drenados incluían depósitos de prestamistas en los pools. Esa es la peor configuración para una recuperación honesta, porque la pérdida recae sobre usuarios que hacían exactamente lo que el protocolo les invitaba a hacer: prestar de forma pasiva. No hay argumento de que asumieran el riesgo conscientemente, como sí hace implícitamente un prestatario apalancado. Cualquier camino hacia la recuperación tiene que reembolsar a esos prestamistas desde algún lugar, o socializar la pérdida entre los depositantes restantes mediante una quita de los tokens de recibo.
Las reservas y el tesoro de Radiant no eran suficientes para reembolsar la pérdida directamente. El token nativo del protocolo, RDNT, tenía funciones de gobernanza y captura de comisiones, pero no contaba con una posición en el balance lo bastante grande como para absorber un golpe de 50 millones al precio de entonces. Incluso si el equipo hubiera estado dispuesto a emitir RDNT adicional para cubrir el hueco —como han hecho algunos protocolos históricamente— la dilución necesaria habría colapsado probablemente el valor de mercado del token, dejando el reembolso en gran medida sobre el papel.
La negociación que no se produjo
En varios exploits de DeFi de alto perfil, la recuperación no vino de las reservas internas sino de la negociación con el atacante. La recuperación de Euler en 2023 siguió una extensa comunicación on-chain y culminó en un acuerdo de recompensa. Varios exploits menores se han resuelto con el atacante devolviendo la mayor parte de los fondos a cambio de retener un porcentaje y de un compromiso público de no emprender acciones legales.
Ese camino no estaba disponible para Radiant. El atacante, identificado por múltiples equipos forenses como un grupo alineado con un Estado, no tenía incentivos para negociar. Los fondos se movieron a través de los canales habituales de lavado —saltando entre cadenas mediante bridges, convirtiéndolos en activos resistentes a congelaciones y saliendo finalmente por servicios de mezcla— en cuestión de días. Para cuando el protocolo podría haber ofrecido una recompensa creíble, los activos ya no estaban en una forma en la que la devolución parcial fuera operativamente significativa.
Esta es una característica de la identidad del atacante que la industria en su conjunto aún no ha interiorizado del todo. La recuperabilidad de un exploit en DeFi está fuertemente condicionada por quién lo ejecutó. Un atacante oportunista, especialmente uno que opera desde una jurisdicción donde teme ser identificado, tiene razones poderosas para considerar una oferta de recompensa. Un actor alineado con un Estado cuyo objetivo operativo es la obtención de divisas extranjeras no las tiene. El valor esperado de una salida rápida por lavado domina el valor esperado de cualquier recompensa que no represente prácticamente la totalidad de la pérdida.
Los catorce meses entre el exploit y el cierre
Un protocolo que sufre un exploit mayor y no muere de inmediato entra en un estado peculiar. Los contratos siguen funcionando. Algunos usuarios permanecen. Las liquidaciones siguen produciéndose. Pero el protocolo opera con un agujero conocido en su balance y con una prima de confianza deteriorada. La pregunta relevante es si puede generar suficiente actividad nueva —comisiones, depósitos, integraciones— para o bien recuperar la solvencia por sus propios medios o bien atraer capital externo dispuesto a tapar el agujero.
El recorrido de Radiant por este estado, reconstruido a partir de comunicaciones públicas y datos on-chain, siguió un patrón conocido. Inmediatamente después del exploit, el equipo pausó los mercados afectados y publicó una cronología forense. Los retiros de los mercados no afectados continuaron. El TVL, que estaba en los cientos de millones antes del incidente, cayó bruscamente en las semanas siguientes a medida que los depositantes más aversos al riesgo salían. La composición del TVL restante se sesgó hacia usuarios con razones para quedarse: titulares de tokens con posiciones bloqueadas, usuarios con préstamos difíciles de cerrar y un fino residuo de verdaderos creyentes.
El equipo exploró varias vías de recapitalización. Las conversaciones públicas en distintos momentos hicieron referencia a posibles inversiones de capital, recapitalizaciones basadas en tokens y fusiones o adquisiciones por parte de otro protocolo. Ninguna prosperó. El problema fundamental en cada caso era que el coste de adquirir Radiant —asumir tanto el pasivo del agujero como la carga operativa de gestionar un protocolo dañado— superaba el valor residual de la franquicia. Para cuando podría haber madurado una oferta seria, la categoría de mercados monetarios cross-chain se había vuelto más competitiva, con los despliegues consolidados de Aave y nuevos competidores como la arquitectura de vaults de Morpho absorbiendo la mayor parte del flujo institucional.
Lo que la liquidez escasa le hace a un intento de recuperación
Existe una dinámica de retroalimentación en un mercado monetario dañado que creemos está subestimada. A medida que el TVL cae, el modelo de tipos de interés que funcionaba a escala produce peores resultados. La utilización oscila con más violencia ante cada depósito o retiro de gran tamaño. Los picos de tasas se vuelven más frecuentes, lo que disuade a nuevos depositantes, lo que adelgaza aún más la liquidez. Los prestatarios que enfrentan tasas volátiles cierran posiciones o migran. El pool deriva hacia un equilibrio vacío no por ningún evento concreto, sino porque la economía de operar un mercado monetario por debajo de escala es poco atractiva incluso antes de considerar el déficit de confianza.
El TVL de Radiant descendió de forma constante a lo largo de 2025. Para cuando llegó el anuncio de cierre, el protocolo operaba a una fracción de su escala previa al exploit. La decisión de cerrar fue, en cierto sentido, formalizar una conclusión a la que el balance ya había llegado por sí solo.
Lo que el desenlace revela sobre los seguros y la resiliencia
DeFi lleva varios años construyendo primitivas de seguro a nivel de protocolo —Nexus Mutual, varios protocolos de cobertura y módulos de seguridad nativos como el de Aave. El colapso de Radiant es un caso útil para examinar qué entregan realmente estos mecanismos cuando se ponen a prueba.
Radiant no tenía un respaldo equivalente a un módulo de seguridad a la escala de Aave. Las reservas del protocolo estaban dimensionadas para la continuidad operativa, no para absorber una pérdida de cola. Esta es una configuración habitual: la mayoría de los protocolos de préstamos, incluidos la mayoría de los que se presentan como gestionados de forma conservadora, no mantienen reservas suficientes para absorber un único incidente mayor. La suposición implícita es que los contratos no fallarán y las claves no serán comprometidas, y que cualquier riesgo residual lo asumen los usuarios que lo aceptan implícitamente al depositar.
La cobertura de terceros, donde los usuarios compraron individualmente pólizas a través de mutuas externas, habría en principio pagado a los usuarios afectados. En la práctica, la adopción de cobertura entre los depositantes de DeFi sigue siendo baja —típicamente muy por debajo del diez por ciento del TVL en cualquier protocolo de préstamos importante— porque el coste de la prima erosiona de forma significativa el rendimiento que motivó el depósito en primer lugar. Los usuarios que perdieron fondos en Radiant lo hicieron en su mayor parte sin cobertura externa.
La asimetría que la industria no ha resuelto
Existe una asimetría estructural en cómo se distribuyen las pérdidas en DeFi que el caso Radiant hace explícita. El alza derivada del éxito de un protocolo la capturan los titulares de tokens, las asignaciones del equipo y los usuarios tempranos. La caída derivada de un fallo catastrófico la soportan principalmente los depositantes en el momento del evento. Los mecanismos que podrían simetrizar esto —módulos de seguridad con financiación adecuada, seguros obligatorios incluidos en los depósitos, o estructuras de tesorería con tramos subordinados— existen conceptualmente pero rara vez se despliegan en una forma que realmente cubriría una pérdida de 50 millones sin una dilución que destruya el protocolo.
Esta asimetría tiene implicaciones para cómo los depositantes deberían evaluar los rendimientos en los mercados monetarios de DeFi. Una tasa de préstamo que compensa por riesgo de crédito, riesgo de liquidez y riesgo de contrato inteligente en un mundo donde las pérdidas catastróficas no están respaldadas es estructuralmente diferente de una en un mundo donde sí lo están. El mercado, actualmente, no valora esto de forma consistente entre protocolos.
Comparación con incidentes anteriores
Vale la pena ser precisos sobre por qué el desenlace de Radiant divergió del de exploits anteriores de alto perfil.
| Incidente | Pérdida aproximada | Perfil del atacante | Desenlace |
|---|---|---|---|
| Euler (2023) | ~$197M | Oportunista, identificable on-chain | Fondos en gran parte devueltos mediante negociación |
| Mango Markets (2022) | ~$114M | Actor público, ataque de gobernanza | Devolución parcial mediante acuerdo de gobernanza |
| Cream Finance (múltiples, 2021) | ~$130M acumulados | Mixto | El protocolo continuó a escala reducida, hasta desvanecerse |
| Radiant (2024) | ~$50M | Alineado con un Estado, compromiso de claves | Cierre tras ~14 meses |
El patrón es que la identidad y la motivación del atacante —más que el tamaño en dólares de la pérdida— determinaron si la recuperación era posible. Donde el atacante era accesible mediante comunicación on-chain y tenía un interés plausible en alguna forma de acuerdo, se produjo una recuperación parcial. Donde el atacante era un actor profesional con infraestructura de lavado establecida, no.
Lecciones para el diseño de mercados monetarios cross-chain
Del modo en que Radiant falló se desprenden varias implicaciones de diseño que se aplican más allá del protocolo concreto.
La primera tiene que ver con la granularidad de los roles privilegiados. Un único multisig que controla los parámetros del pool en múltiples cadenas concentra las consecuencias de un compromiso de claves. Dividir la autoridad administrativa de modo que ningún evento de firma único pueda reconfigurar pools en distintos despliegues no habría evitado el ataque de ingeniería social en sí, pero habría acotado el radio de la explosión. Varios protocolos de préstamos más recientes han avanzado hacia este patrón, ya sea mediante administración por cadena con coordinación cross-chain formal, o mediante contratos de pool inmutables con cambios de parámetros enrutados a través de gobernanza on-chain en lugar de multisig.
La segunda tiene que ver con el canal de verificación para los firmantes del multisig. El ataque a Radiant —y el ataque a Bybit que le siguió con un mecanismo similar— estableció que la interfaz de firma es parte de la superficie de ataque y no puede confiarse en que muestre lo que se está firmando. La mitigación es estructural: cada firmante debería decodificar de forma independiente el payload de la transacción usando un entorno que el atacante no haya comprometido también, preferiblemente un dispositivo hardware que muestre el calldata en formato legible por humanos para el contrato específico que se está llamando. Las herramientas para esto existen, pero su adopción ha ido a la zaga.
La tercera tiene que ver con la relación entre liquidez cross-chain y riesgo cross-chain. Agrupar liquidez entre cadenas es genuinamente útil para la eficiencia de capital, pero convierte lo que serían incidentes aislados por cadena en eventos de alcance protocolario. Un compromiso en un despliegue puede vaciar pools en otros si la capa de mensajería o la capa administrativa los vincula. Si la ganancia en eficiencia de capital justifica el coste del fallo correlacionado es una pregunta de diseño que los protocolos de préstamos cross-chain han respondido en general afirmativamente sin cuantificar explícitamente el mayor riesgo de cola.
Cómo serían unas reservas verdaderamente suficientes
Un mercado monetario que quiera respaldar genuinamente un evento de cola necesita reservas dimensionadas a una pérdida máxima plausible, no a una necesidad operativa media. Para un protocolo con cientos de millones en TVL, eso implica un módulo de seguridad del orden de decenas de millones, estructurado de modo que pueda liquidarse sin destruir el valor del token del protocolo. El módulo de seguridad de Aave es el que más se acerca a este diseño entre los principales protocolos de préstamos y, aun así, la pregunta de si aguantaría un incidente suficientemente grande sin desplomar el valor de stkAAVE no se ha puesto a prueba en el límite.
Para protocolos más pequeños o recientes, la posición honesta es probablemente que no tienen tales reservas y que los depositantes deberían tenerlo en cuenta. El caso Radiant sugiere que un protocolo que opera sin un respaldo adecuadamente dimensionado, golpeado por un atacante sofisticado, tiene una probabilidad significativa de no sobrevivir —y que esa probabilidad no aparece en la comparación superficial de rendimientos que utiliza la mayoría de los depositantes.
Implicaciones y preguntas abiertas
El cierre de Radiant debería leerse menos como la historia de un protocolo y más como un punto de datos sobre la distribución de recuperaciones en los exploits de DeFi. Los años anteriores produjeron una muestra de incidentes con desenlaces sorprendentemente favorables —Euler, la devolución de Poly Network, varias resoluciones menores por recompensa— que pueden haber moldeado las expectativas de la industria de una manera que la mecánica subyacente no sustenta. La recuperación está condicionada a un atacante accesible y motivado, y a un balance protocolario que pueda sostenerse durante una negociación de varios meses. Ninguna de esas condiciones está garantizada y, en el caso de atacantes alineados con un Estado, la primera está estructuralmente ausente.
Esto plantea varias preguntas que vale la pena seguir. Si la adopción de seguros aumentará ahora que la asimetría ha quedado ilustrada por un caso de fallo claro. Si los mercados monetarios cross-chain evolucionarán hacia perímetros de riesgo aislados por cadena o si el argumento de la eficiencia de capital seguirá dominando. Si los módulos de seguridad se convertirán en estándar en protocolos más pequeños, o si la industria se estratificará de tal modo que solo los protocolos más grandes cuenten con respaldos creíbles y los depositantes acepten implícitamente un mayor riesgo de cola en el resto. Si las herramientas de firma que defienden contra el compromiso de la capa de visualización se volverán obligatorias para protocolos con claves administrativas privilegiadas.
Hay también una pregunta más silenciosa sobre cuál es la disposición apropiada para un protocolo que ha sido dañado más allá de la recuperación pero no destruido. El camino de cierre que eligió Radiant —cierre ordenado, liquidación de las posiciones restantes, devolución de los activos que el protocolo aún controla a los depositantes que quedan— es más responsable que la alternativa de operar indefinidamente por debajo de escala, pero formaliza la pérdida que los usuarios afectados habían esperado que alguna futura recapitalización pudiera reparar. La equidad de ese desenlace depende de si el equipo negoció con más intensidad de lo que fue visible, de si los adquirentes externos eran opciones realistas y de si el tesoro residual se desplegó al servicio de los usuarios o de los titulares de tokens.
No son preguntas con respuestas públicas claras, y somos escépticos de que las vayan a tener. Lo que el caso Radiant sí proporciona es un punto de referencia razonablemente claro sobre lo que exige la resiliencia de un protocolo: reservas dimensionadas a un peor caso plausible, superficies administrativas lo suficientemente estrechas como para que ningún compromiso único sea catastrófico, prácticas de firma que asuman que la interfaz es hostil, y una visión lúcida de que no todos los atacantes son de aquellos con quienes un protocolo puede negociar. Los protocolos que cumplan esas condiciones sobrevivirán a incidentes como el que acabó con Radiant. La mayoría no las cumple actualmente.