4,260억 원 해킹 뒤 책임 공방…켈프다오·레이어제로 정면충돌

스파이더맨 밈처럼 서로를 가리키는 ‘책임 공방’이 4,200억 원 규모 해킹 이후 본격화되고 있다. 켈프다오(Kelp DAO)와 레이어제로(LayerZero)가 이번 공격의 원인을 두고 정면 충돌하는 모습이다.

지난 주말 발생한 약 2억9,000만 달러(약 4,260억 원) 규모 해킹 이후, 켈프다오는 레이어제로의 사후 보고서에 반박할 입장을 준비 중이다. 사안에 정통한 관계자에 따르면 켈프 측은 보고서가 자신들에게 책임을 돌렸다고 보고 있으며, 관련 메모도 이미 검토된 상태다.

켈프다오는 이더리움(ETH)을 예치받아 ‘아이겐레이어(EigenLayer)’를 통해 수익을 창출하고, 이를 기반으로 rsETH 토큰을 발행하는 ‘리퀴드 리스테이킹’ 프로토콜이다. 레이어제로는 이러한 rsETH를 블록체인 간 옮길 수 있도록 하는 크로스체인 메시징 인프라로, DVN(탈중앙 검증 네트워크)을 통해 거래의 유효성을 확인한다.

단일 검증 구조 놓고 ‘책임 공방’

레이어제로는 사후 보고서에서 켈프다오가 ‘1/1 DVN 구조’를 선택해 보안 리스크를 키웠다고 지적했다. 단일 검증자만 승인하면 거래가 실행되는 구조로, 위조나 침해 시 이를 걸러낼 장치가 없다는 설명이다.

하지만 켈프 측은 이 주장을 정면 반박한다. 해당 구조는 레이어제로가 제공한 기본 설정에 포함돼 있으며, 전체 프로토콜의 약 40%가 동일 구성을 사용 중이라는 것이다. 또한 2024년 7월부터 이어진 공식 커뮤니케이션에서도 구조 변경에 대한 구체적 권고는 없었다고 주장한다.

실제로 레이어제로의 개발 가이드와 기본 깃허브 설정에도 단일 검증 구조가 기본값으로 제시돼 있는 것으로 확인됐다.

“문제는 인프라”…공격 방식도 논란

공격은 레이어제로 검증 서버를 겨냥했다. 해커는 검증 서버를 오염시킨 뒤, 정상 백업 서버를 무력화하는 트래픽 공격을 병행하면서 시스템이 손상된 서버를 사용하도록 유도했다. 이 과정에서 약 11만6,500 rsETH가 탈취됐다.

켈프 측은 “침해된 DVN은 외부가 아닌 레이어제로 자체 인프라였다”며, ‘국가 주도 수준의 정교한 공격’이라고 주장했다. 또한 핵심 리스테이킹 계약은 안전했으며, 피해는 브리지 레이어에 국한됐다고 강조했다.

이들은 공격 발생 46분 만에 긴급 중단 조치를 실행했고, 추가로 약 2억 달러 규모의 피해를 막았다고 밝혔다.

보안 전문가도 ‘책임 전가’ 지적

외부 보안 전문가들도 레이어제로의 입장을 그대로 받아들이지 않는 분위기다. 연파이낸스의 개발자 바텍(@banteg)은 레이어제로의 공개 코드 분석 결과, 주요 체인에서 단일 검증 기본값이 적용돼 있다고 지적했다.

체인링크(LINK) 커뮤니티 매니저 잭 라이너스(Zach Rynes)는 “레이어제로가 자체 인프라 문제의 책임을 켈프에 전가하고 있다”고 비판했다.

논란이 커지자 레이어제로는 단일 검증 구조를 사용하는 프로젝트에 더 이상 메시지 서명을 제공하지 않겠다고 밝혔다. 이에 따라 관련 프로토콜 전반의 구조 변경이 불가피해질 전망이다.

이번 사태는 크로스체인 인프라의 ‘단일 실패 지점(Single Point of Failure)’ 문제가 여전히 해소되지 않았음을 드러낸 사례로 평가된다. 디파이 생태계 전반에서 기본 설정과 보안 책임 범위를 둘러싼 논쟁은 당분간 이어질 가능성이 크다.

💡 자주 묻는 질문 (FAQ)