켈프다오 2.9억달러 규모 해킹 사태두고 레이어제로와 책임 공방

레이어제로의 RPC 노드 지목

이더리움 리스테이킹 프로토콜 켈프다오(KelpDAO)는 21일 X를 통해 4월 18일 발생한 2억9300만달러(약 4307억원) 규모 rsETH 유출 사안에 대한 입장을 밝혔다. 크로스체인 브리지를 겨냥한 디파이 공격 중 2026년 최대 수준으로 언급된다.

켈프다오는 레이어제로(LayerZero) 측 RPC 노드 침해로 위조된 크로스체인 메시지가 승인됐고, 이 과정에서 rsETH가 브리지에서 빠져나갔다고 밝혔다. 켈프다오는 공격 대상이 레이어제로 인프라였으며, 켈프다오는 해당 인프라 구축과 운영에 관여하지 않았다고 밝혔다.

켈프다오는 이상 징후를 인지한 뒤 이더리움 메인넷과 여러 레이어2 네트워크의 계약을 중단하고, 공격자 지갑을 차단 목록에 올렸다고 설명했다. 보안 대응 조직 SEAL-911과 협력해 추가 유출 시도 4만 rsETH, 9500만달러(약 1396억원)를 막았다고 덧붙였다.

책임을 두고 양측 입장은 엇갈린다. 레이어제로는 켈프다오의 시스템 구성을 원인으로 지목하며 변경을 권고했다고 밝혔다. 반면 켈프다오는 해당 구성이 레이어제로 기본 설정에 따른 것이며, 구체적 변경 권고를 받은 적이 없다고 반박했다.

한편 레이어제로는 이번 해킹 공격에 북한 해커 조직 개입 가능성을 거론했다.