[ND MAGAZINE] 레이어제로, 2억 9,200만 달러 규모 켈프 DAO 해킹 대응 실책 공식 사과... 단일 검증인 설정 과실 인정

2026년 5월 9일, 레이어제로 랩스(LayerZero Labs)가 2억 9,200만 달러 규모의 켈프 DAO(Kelp DAO) 해킹 사건에 대한 대응 과정에서의 과실을 인정하고 공식 사과문을 발표했다. 이는 사건 초기 애플리케이션 설정 오류로 책임을 돌렸던 방어적인 태도에서 완전히 선회한 것으로, 단일 검증인(single-verifier) 구성과 내부 인프라 관리의 실패를 공식적으로 시인한 것이다.

이번 사과는 지난 몇 주간 이어진 레이어제로와 켈프 DAO 간의 공개적인 갈등을 일단락 짓는 조치다. 켈프 DAO는 레이어제로의 책임 회피를 비판하며 이미 2026년 5월 5일 경쟁사인 체인링크의 CCIP로 서비스를 이전하겠다고 발표한 바 있다.

레이어제로는 2026년 5월 9일 성명을 통해 단일 검증인 네트워크(DVN) 설정 과정에서 발생한 실수를 인정하며, 자사 내부 RPC 인프라의 장애가 해킹의 결정적 원인이 되었음을 밝혔다. 특히 초기 대응 과정에서 프로토콜 자체의 결함이 없음을 강조하며 사용자들에게 혼란을 준 점에 대해 깊은 유감을 표명했다.

우리는 켈프 DAO 사건 대응 과정에서 명백한 실책을 저질렀으며, 단일 검증인 설정의 위험성을 충분히 관리하지 못했다. 내부 인프라의 취약점이 공격자에게 노출된 점에 대해 책임을 통감한다.

이번 사건의 발단은 2026년 4월 18일 발생한 11만 6,500 rsETH 탈취 사건으로 거슬러 올라간다. 당시 공격자는 약 2억 9,200만 달러 상당의 자산을 탈취했으며, 보안 전문가들은 이번 공격의 배후로 북한의 해킹 조직인 라자루스 그룹(Lazarus Group)을 지목했다.

단일 검증인 취약점과 기술적 결함의 실체

기술적 분석에 따르면, 켈프 DAO의 rsETH 어댑터는 단 하나의 검증인 메시지만 수락하도록 설정되어 있었다. 공격자는 레이어제로의 내부 RPC 인프라를 타격하는 동시에 외부 RPC 제공업체들에 분산 서비스 거부(DDoS) 공격을 가해 시스템을 마비시켰으며, 이를 통해 허위 메시지를 검증 과정 없이 통과시킨 것으로 드러났다.

• rsETH 어댑터의 1대1 검증인 네트워크(DVN) 설정 오류
• 내부 RPC 인프라에 대한 정밀 타격 및 외부 서비스 DDoS 공격 병행
• 애플리케이션 계층의 설정 문제로 치부했던 초기 대응의 부실함

레이어제로는 이번 사과문에서 그동안 보고되지 않았던 내부 운영상의 허점도 추가로 공개했다. 멀티시그(Multisig) 서명자 중 한 명이 개인적인 거래를 위해 운영용 하드웨어 월렛을 사용한 사실이 밝혀졌으며, 이는 팀 전체의 운영 보안 관리가 느슨해졌음을 보여주는 사례로 지적되었다.

이번 해킹의 여파로 디파이 대출 프로토콜인 에이브(Aave)는 막대한 타격을 입었다. 에이브 측은 스마트 컨트랙트 자체의 결함은 없었다고 선을 그었으나, 탈취된 자산의 가치 변동으로 인해 약 1억 7,700만 달러에서 2억 9,000만 달러에 달하는 불량 부채가 발생한 것으로 추산된다.

레이어제로의 거버넌스 토큰인 ZRO는 해킹 사건 이후 시장의 불확실성이 커지며 큰 변동성을 보였다. 2026년 4월 18일 사건 발생 직후 20% 가량 급락한 ZRO 가격은 현재 1.35달러 부근의 주요 지지선을 시험하고 있으며, 투자자들은 이번 사과가 가격 회복의 모멘텀이 될 수 있을지 주목하고 있다.

이번 사건은 크로스체인 브릿지 프로토콜이 기술적 완성도뿐만 아니라 운영상의 투명성과 책임 있는 대응이 얼마나 중요한지를 일깨워주었다. 레이어제로가 뒤늦게나마 과실을 인정하고 사과한 것은 신뢰 회복을 위한 첫걸음이지만, 한 번 무너진 생태계의 신뢰를 재건하는 데는 상당한 시간과 노력이 필요할 것으로 보인다.

디파이 업계 전반에서는 이번 사례를 계기로 크로스체인 메시징의 보안 표준을 강화해야 한다는 목소리가 높아지고 있다. 특히 단일 실패 지점(Single Point of Failure)을 방지하기 위한 다중 검증 구조의 의무화와 인프라 제공업체의 운영 보안에 대한 엄격한 감사가 향후 프로젝트 선택의 핵심 기준이 될 전망이다.