탈중앙화 금융의 정체성 위기: 2026년 대규모 해킹 사건이 촉발한 자산 동결 논쟁

2026년 5월 1일 현재, 탈중앙화 금융(DeFi) 생태계는 중대한 정체성 위기에 직면해 있다. 지난 4월 18일 발생한 KelpDAO의 2억 9,000만 달러 규모 익스플로잇은 올해 최대 규모의 보안 사고로 기록되며 업계 내 자산 동결에 관한 논쟁을 재점화했다. 현재 업계는 도난 자산 회수를 위해 프로토콜 수준의 개입을 요구하는 진영과, '신 모드(god mode)'와 같은 동결 기능이 탈중앙화의 핵심 가치를 훼손한다고 주장하는 순수주의자들로 나뉘어 팽팽하게 맞서고 있다.

이번 논쟁의 중심에는 리퀴드 리스테이킹 프로토콜인 KelpDAO의 보안 실패가 자리 잡고 있다. 북한의 라자루스 그룹(Lazarus Group)으로 추정되는 공격자는 KelpDAO가 선택한 LayerZero 브리지의 단일 검증자(single-verifier) 설정을 악용했다. 공격자는 탈취한 rsETH를 담보로 Aave에서 약 1억 9,000만 달러의 WETH를 대출받았으며, 이는 자금의 흐름을 복잡하게 만들어 즉각적인 동결이나 회수를 어렵게 만들었다.

KelpDAO 사건은 단순한 기술적 오류를 넘어 DeFi 프로토콜의 불변성에 대한 근본적인 질문을 던졌다. 공격자가 탈취한 자산을 이용해 다른 주요 프로토콜인 Aave의 유동성을 활용함에 따라, 하나의 프로토콜에서 발생한 사고가 생태계 전체로 전이되는 '나비 효과'가 입증되었다. 이에 따라 피해자들과 일부 커뮤니티 구성원들은 개발자가 비상 상황에서 자산을 동결할 수 있는 권한을 가져야 한다고 강력히 주장하고 있다.

DeFi는 도난당한 자금을 동결할 수 있는 기술적 잠재력을 가지고 있지만, 모든 이가 그것이 실행되어야 한다는 점에 동의하는 것은 아니다.

2026년 초부터 이어진 일련의 보안 사고들은 이러한 논쟁에 화력을 더하고 있다. 1월 31일 Step Finance가 재무 키 유출로 2,730만 달러의 손실을 입었으며, 같은 달 Truebit(2,640만 달러)과 Resolv Labs(2,300만 달러) 역시 스마트 컨트랙트 및 개인키 취약점 공격의 희생양이 되었다. 4월 한 달 동안에만 KelpDAO와 Rhea Finance를 포함해 약 3억 1,000만 달러 이상의 자산이 유출되면서, '코드의 법칙'만을 신뢰하기에는 리스크가 너무 크다는 인식이 확산되는 추세다.

중앙화된 개입과 테더(Tether)의 선례

중앙화된 스테이블코인 발행사인 테더는 이미 DeFi 보안 사고에서 실질적인 규제자이자 집행관 역할을 수행하고 있다. 지난 4월 Rhea Finance에서 발생한 1,840만 달러 규모의 오라클 조작 사건 당시, 테더는 도난 자금 중 약 329만 달러를 신속하게 동결하며 추가 피해를 막았다. 테더는 2026년 1분기에만 10억 달러 이상의 수익을 올리고 1,410억 달러 규모의 미국 국채를 보유하는 등 막대한 금융 영향력을 바탕으로 자산 흐름에 개입할 수 있는 독보적인 위치를 점하고 있다.

• 2026년 1월 31일: Step Finance ($2,730만, 재무 키 유출)
• 2026년 1월: Truebit ($2,640만, 스마트 컨트랙트 취약점)
• 2026년 4월: Rhea Finance ($1,840만, 오라클 조작 및 테더의 부분 동결)
• 2026년 4월 18일: KelpDAO ($2억 9,000만, 브리지 익스플로잇)

이러한 테더의 행보는 DeFi 프로토콜 개발자들에게 복잡한 과제를 안겨준다. '코드는 법이다(Code is Law)'라는 원칙을 고수하는 진영은 개발자의 개입이 결국 검열의 시발점이 될 것이라 경고한다. 반면, 일반 사용자의 자산을 보호하지 못하는 프로토콜은 금융 시스템으로서의 신뢰를 얻을 수 없다는 현실적인 목소리도 높다. 개발자들은 커뮤니티의 자산 회수 압박과 탈중앙화라는 철학적 가치 사이에서 선택을 강요받는 진퇴양양의 상황에 놓여 있다.

정치적 압박 또한 자산 동결 논쟁의 중요한 변수다. 최근 미국 상원의 엘리자베스 워런과 론 와이든 의원은 하워드 러트닉 상무장관과 테더 사이의 대출 관계를 조사하며 스테이블코인 발행사의 투명성과 통제력을 문제 삼았다. 이러한 정치적 감시는 DeFi 내 불법 자금 흐름에 대해 발행사들이 더 강력한 동결 조치를 취하도록 압박하는 요인이 되고 있으며, 이는 결국 프로토콜 설계 단계부터 준법 기능을 고려하게 만드는 결과를 초래하고 있다.

기술적으로는 보안과 준법 감시를 자동화하려는 시도가 이어지고 있다. 2026년 초 출시된 Aave v4는 보안 기능을 대폭 강화했으며, 엘립틱(Elliptic)의 '홀리스틱 스크리닝(Holistic Screening)'과 같은 도구는 체인 간 이동을 실시간으로 추적해 자금 세탁을 방지한다. 이러한 기술적 진보는 탈중앙화의 핵심을 유지하면서도 범죄 자금의 이동을 효과적으로 차단할 수 있는 절충안을 제시하며, 향후 DeFi 프로토콜의 표준이 될 것으로 전망된다.

결론적으로 2026년 상반기에 발생한 대규모 해킹 사태는 DeFi의 완전한 불변성 시대가 저물고 있음을 시사한다. 거버넌스에 의한 비상 정지나 조건부 동결 기능이 포함된 하이브리드 모델이 점차 수용되고 있다. 금융 시스템으로서의 지속 가능성을 확보하기 위해 DeFi는 자율성과 안전성 사이의 새로운 균형점을 찾아야 하며, 이는 2026년 남은 기간 동안 업계가 해결해야 할 가장 시급한 과제가 될 것이다.