[토큰분석] "연결될수록 더 위험하다"…Kelp DAO 3,000억 해킹이 드러낸 DeFi의 민낯

2026년 4월 18일 오후 5시 35분(UTC), DeFi 생태계에 올해 최대 규모의 충격이 가해졌다.

온체인 조사관 ZachXBT가 이상 거래를 최초 포착한 시각은 오후 2시 52분. Kelp DAO의 레이어제로(LayerZero) 기반 크로스체인 브리지가 공격받아 rsETH 116,500개, 약 2억 9,200만 달러(한화 약 2,926억 원) 상당이 탈취됐다. rsETH는 이더리움을 Kelp DAO에 예치하면 받는 '리퀴드 리스테이킹 토큰'으로, 스테이킹 수익을 유지하면서도 다른 DeFi 서비스에 자유롭게 활용할 수 있는 일종의 예치 증서다. 이번에 탈취된 물량은 rsETH 전체 유통량의 약 18%에 해당한다.

이번 사건은 지난 4월 1일 북한 연계 해킹 그룹이 솔라나 기반 퍼페추얼 프로토콜 Drift에서 약 2억 8,500만 달러를 탈취한 사건을 넘어서며 2026년 DeFi 최대 해킹 사례로 기록됐다.

공격 구조: 메시지 위조로 브리지를 속이다

쉽게 말하면 이렇다. 서로 다른 블록체인 간에 자산을 이동시키려면 '브리지'라는 통로가 필요하다. 이 브리지는 "A 체인에서 자산을 보냈다"는 메시지를 받아 B 체인에서 자산을 내어주는 방식으로 작동한다. 공격자는 이 메시지 자체를 위조했다. 실제로 아무것도 보내지 않았지만, 브리지는 정상 요청으로 인식하고 116,500 rsETH를 내줬다.

온체인 데이터에 따르면 공격자 지갑은 약 10시간 전 토네이도 캐시(자금 출처를 세탁하는 도구)를 통해 사전 자금을 조달받은 상태였다. 즉흥적 공격이 아니라 치밀하게 준비된 작전이었다.

이후 공격자는 탈취한 rsETH를 Aave, Compound, Euler 같은 대출 프로토콜에 담보로 맡기고 WETH를 대량 차입하는 방식으로 2차 피해까지 확대했다.

Kelp DAO는 약 1시간 내 rsETH 컨트랙트를 전면 동결하며 추가 피해를 막았지만, 브리지의 검증 로직이 어떻게 뚫렸는지는 아직 공개되지 않았다.

연쇄 반응: 하나가 무너지자 전부가 흔들렸다

이번 사건의 진짜 문제는 해킹 자체보다, 피해가 번진 속도와 범위에 있다.

rsETH는 단순한 토큰이 아니었다. Arbitrum, Base, Linea 등 20개 이상의 블록체인에서 유통되며, 수많은 DeFi 프로토콜의 담보 자산이자 수익 전략의 기반으로 쓰이고 있었다. 한 자산이 생태계 전체의 뼈대 역할을 하고 있었던 셈이다.

rsETH에 문제가 생기자 이 자산과 연결된 모든 프로토콜이 즉각 반응했다. Aave V3는 rsETH 관련 시장을 동결했다. SparkLend, Fluid, Compound, Euler, Pendle, Beefy, Yearn도 볼트 일시 정지 또는 노출 한도 축소 조치에 들어갔다. AAVE 토큰 가격은 약 10% 급락했다.

Aave 측은 "자체 스마트 컨트랙트는 피해를 입지 않았다"고 밝혔다. 틀린 말이 아니다. 그러나 그것이 문제의 본질을 비껴간다. 내 집 벽이 멀쩡해도, 같은 건물의 기둥이 흔들리면 나도 대피해야 한다.

구조적 함의: '연결'이 무기가 되는 순간

DeFi의 핵심 강점은 이른바 '컴포저빌리티(composability)'다. 레고 블록처럼 프로토콜들이 서로를 쌓아올려 자본 효율을 극대화하는 구조다. 리스테이킹으로 수익을 쌓고, 그 토큰을 담보로 대출을 받고, 대출금을 다시 수익 전략에 투입하는 식이다.

정상 국면에서 이 구조는 강력한 수익 증폭기다. 그러나 취약점 하나가 터지는 순간, 그 연결고리 전체가 전염 경로로 바뀐다. 자산 하나가 담보이자, 대출 기반이자, 볼트 전략의 재료이자, 크로스체인 유동성의 원천이 되는 구조에서는 실질적인 방어선이 없다.

컴포저빌리티는 상승장에서 레버리지처럼 작동하고, 위기에서는 감염 경로처럼 작동한다.

앞으로의 전망

rsETH의 페깅 유지 여부는 크로스체인 유통분의 이더리움 본체 상환 수요가 얼마나 몰리느냐, 그리고 Kelp가 피해 자금 일부를 회수할 수 있는지에 달려 있다. 현재 rsETH는 약 2,500달러 수준에서 거래되며 불안정한 흐름을 보이고 있다.

보안 업계에서는 크로스체인 메시지 검증 로직에 대한 구조적 재검토가 불가피하다는 목소리가 나온다. 레이어제로 OFT 표준을 채택한 프로토콜 전반에 대한 보안 감사 수요도 단기적으로 급증할 전망이다.

Kelp DAO로서는 두 번째 주요 사고다. 2025년 4월에도 수수료 컨트랙트 버그로 rsETH가 초과 발행된 사례가 있었지만, 당시에는 사용자 자금 손실로 이어지지 않았다. 이번엔 다르다.

DeFi에서 '모든 것이 연결된다'는 말은 기회이기도 하지만, 동시에 경고이기도 하다. 연결될수록 리스크는 더 빠르게, 더 멀리 퍼진다.