켈프다오(KelpDAO) 크로스체인 브릿지 2억9200만달러 해킹

4월 18일 오전 켈프다오의 LayerZero V2 기반 유니체인-이더리움 rsETH 브릿지 경로에서 공격자가 위조된 검증 패킷을 이용해 담보 없는 rsETH 11만6500개를 부정 발행했다. 공격자는 이더리움 어댑터에서 인출한 토큰을 즉시 여러 주소로 분산시켜 추적을 어렵게 만들었다. 탈취 규모는 자산 가치 기준 약 2억9200만 달러에 달했으며, 단일 크로스체인 브릿지 해킹 사고로는 최대 규모 중 하나로 기록됐다. 사건 발생 직후 켈프다오와 LayerZero 측은 긴급 성명을 내고 취약점 패치와 자금 추적에 착수했다고 밝혔다. 디파이 업계 전반에 브릿지 보안에 대한 경각심이 재차 고조됐다.

공격자는 탈취한 rsETH 중 약 9만개를 대형 대출 프로토콜 Aave V3에 담보로 예치한 뒤 이더리움과 아비트럼 네트워크에서 약 1억9000만 달러 규모의 WETH와 wstETH를 대출받아 현금화를 시도했다. 위조된 담보를 실제 자산인 것처럼 이용해 정상적인 대출 시스템을 악용한 이례적 공격 방식이었다. Aave 프로토콜 자체는 해킹당하지 않았지만 위조 담보가 시스템에 유입되면서 심각한 부실채권 위험에 노출됐다. 커뮤니티에서는 왜 Aave가 직접 해킹당하지 않고도 위기에 빠졌는지를 둘러싼 기술적 논쟁이 이어졌다. 이 사건은 디파이 프로토콜 간 상호연결성이 초래하는 연쇄 위험성을 여실히 드러냈다.

해킹 여파로 디파이 전체 예치자산(TVL)은 4월 17일 연중 최고치인 994억9700만 달러에서 불과 이틀 만에 862억8600만 달러까지 급락했다. 이는 2022년 루나·테라 사태 이후 가장 큰 단기 TVL 낙폭으로, rsETH와 연계된 스테이블코인 시장에서만 8억9200만 달러가 빠져나간 것으로 집계됐다. 투자자들의 대규모 인출 러시가 이어지면서 관련 프로토콜들의 유동성 경색이 심화됐다. JP모건 등 대형 기관들도 디파이 리스크 관리 체계에 대한 경고 보고서를 내놨다. 크립토 시장 전반의 신뢰도에 타격을 준 사건으로 평가됐다.

블록체인 분석업체 체이널리시스는 이번 공격에 사용된 자금 세탁 믹서 패턴과 자산 분산 기법이 북한 정찰총국 산하 해킹조직 라자루스 그룹의 기존 수법과 정확히 일치한다고 발표했다. LayerZero 측도 공격 배후에 라자루스 연계 세력이 개입했을 가능성을 시사하는 자체 분석 결과를 내놨다. 라자루스 그룹은 그동안 여러 크립토 해킹 사건에서 유사한 자산 분산·세탁 기법을 반복 사용해 온 것으로 알려져 있다. 전문가들은 탈취 자금의 자발적 반환 가능성이 매우 낮다고 진단했다. 국제 제재망을 우회한 북한의 크립토 해킹 규모가 다시 한번 세계적 경각심을 불러일으켰다.

Aave는 공격자가 담보로 남겨둔 잔여 rsETH 포지션을 전량 강제 청산하며 추가 부실 확산을 차단했다. 동시에 출범한 복구펀드는 목표액 2억 달러의 80%에 해당하는 1억6000만 달러를 모금했고, 이더리움 개발 업체 컨센시스도 3만 ETH를 복구기금에 서약했다. 업계 협력체 '디파이 유나이티드'가 결성돼 rsETH 담보 가치 복원을 위한 공동 대응에 나섰다. 그러나 완전한 피해 보상까지는 상당한 시일이 걸릴 것으로 전망됐다. 사건 발생 한 달여 만에 업계 차원의 자율적 복구 노력이 본궤도에 오른 모습이었다.

미국 법원이 아비트럼 재단의 동결자금 7100만 달러 이전 요청을 차단하는 명령을 내리면서 피해자 보상 절차에 예상치 못한 법적 걸림돌이 생겼다. 2015년 북한 납치 피해자들을 대리하는 미국 변호인단이 동결된 자금을 북한 배상 책임 자산으로 청구하고 나서면서 자금 소유권을 둘러싼 법적 분쟁이 복잡하게 얽혔다. 이로 인해 Aave와 켈프다오가 준비해 온 사용자 보상 계획도 함께 지연되는 상황을 맞았다. 관련 소송은 크립토 해킹 피해 자금과 국제 인권 배상 청구권이 충돌하는 이례적 사례로 법조계의 주목을 받았다. 피해자 보상은 해를 넘겨서도 완전히 마무리되지 못한 채 진행형으로 남았다.