KelpDAO 2억 9,200만 달러 해킹 — DeFi 140억 달러 증발, 누가 책임지나?
📅 최종 업데이트: 2026년 4월 22일
KelpDAO 2억 9,200만 달러 해킹 — DeFi TVL 140억 달러 증발, 누가 책임지나?
⚠️ 투자 위험 면책 조항
이 글은 특정 자산에 대한 투자를 권유하지 않습니다. 가상화폐 및 DeFi 프로토콜 투자는 원금 손실 가능성이 있으며, 해킹·익스플로잇 리스크가 내재합니다. 모든 투자 결정은 개인의 책임 하에 이루어져야 합니다.
2026년 4월 18일 토요일 저녁 18시 52분(UTC). 누군가가 버튼을 눌렀다. 46분 후, 이더리움 기반 리스테이킹 프로토콜 KelpDAO에서 116,500개의 rsETH가 사라졌다. 시가로 약 2억 9,200만 달러.
이번 해킹은 단순한 자금 탈취가 아니었다. 탈취된 자금이 담보로 대출 프로토콜 Aave에 투입되면서 1억 7,700만 달러의 부실채권이 생겼다. DeFi 전체 TVL(총예치금)이 이틀 만에 140억 달러 증발했다. 2026년 최대 DeFi 해킹이다.
그리고 이 사건의 배후는 북한 라자루스 그룹이었다.
💡 DeFi란 무엇인가 — 먼저 이것부터 알아야 한다
DeFi는 Decentralized Finance, 즉 탈중앙화 금융의 약자다. 은행·증권사 같은 중개기관 없이 블록체인 스마트컨트랙트만으로 금융 서비스를 제공하는 시스템이다.
전통 금융에서는 은행이 예금을 받아 대출을 주고 이자를 챙긴다. DeFi에서는 이 역할을 코드가 한다. 24시간 365일, 허가 없이, 전 세계 누구나 참여할 수 있다. Aave는 대출 프로토콜, Uniswap은 탈중앙화 거래소(DEX), KelpDAO는 스테이킹 수익률 극대화 프로토콜이다.
DeFi의 거대한 강점은 동시에 가장 큰 약점이다. 코드로 모든 것이 돌아가기 때문에 코드에 버그가 있거나, 인프라가 뚫리면 자산이 순식간에 사라진다. 은행처럼 예금보험이 없다. 돈이 날아가면 되찾기 매우 어렵다.
2026년 4월 기준 DeFi 전체 TVL은 약 1,000억 달러 규모다. 이더리움이 전체의 56% 이상을 차지하는 압도적 1위 플랫폼이다.
🔍 KelpDAO는 무엇인가 — 리스테이킹의 개념부터
KelpDAO는 이더리움 기반의 리퀴드 리스테이킹 프로토콜이다. 작동 방식은 이렇다. 사용자가 ETH를 예치하면 KelpDAO가 이것을 EigenLayer라는 리스테이킹 시스템에 넣어 추가 수익을 창출한다. 대신 사용자에게는 rsETH라는 영수증 토큰을 돌려준다.
rsETH는 예치된 ETH의 권리를 나타내는 토큰이다. 이 토큰을 다른 DeFi 프로토콜에서 담보로 쓸 수 있다. ETH를 묶어두면서도 그 권리를 유동적으로 활용한다는 것이 핵심이다. 이게 '리퀴드(Liquid·유동) 리스테이킹'의 개념이다.
운영되는 메인 블록체인은 이더리움이다. 그러나 rsETH는 이더리움에만 머물지 않는다. 사용자 편의를 위해 Base, Arbitrum, Linea, Blast, Mantle, Scroll 등 이더리움 위에 올라간 20개 이상의 레이어2(L2) 네트워크에서도 유통된다. 이 멀티체인 기능을 위해 KelpDAO는 크로스체인 메시징 인프라인 LayerZero를 활용했다. 그리고 바로 이 연결 지점이 공격받았다.
해킹 당시 KelpDAO의 rsETH 순환 공급량은 약 65만 개였다. 탈취된 116,500개는 전체의 약 18%에 해당한다.
🚨 46분의 해킹 — 어떻게 2억 9,200만 달러가 사라졌나?
공격자가 뚫은 곳은 블록체인 자체가 아니었다. LayerZero의 DVN(분산 검증 네트워크)이 사용하는 RPC 노드였다.
RPC(원격 프로시저 콜) 노드는 소프트웨어가 블록체인에서 데이터를 읽고 쓸 수 있게 해주는 서버다. LayerZero의 검증자는 이 노드들을 통해 "A 체인에서 B 체인으로 rsETH를 보내는 트랜잭션이 실제로 발생했는가"를 확인한다.
LayerZero 공식 사후 분석에 따르면, 공격자는 LayerZero의 검증자가 의존하는 RPC 노드 중 두 개의 바이너리 소프트웨어를 악성 버전으로 교체했다. 그런 다음 DDoS 공격으로 나머지 노드들을 마비시켰다. 결과적으로 오염된 두 노드만 남은 상태에서, 검증자는 "실제로 발생하지 않은 트랜잭션"을 유효한 것으로 승인했다.
KelpDAO가 설정한 DVN 구성이 1개 검증자만 통과하면 되는 '1/1 설정'이었다는 점이 결정적이었다. 검증자가 하나이므로 그 하나를 속이면 모든 크로스체인 트랜잭션이 통과된다. 다중 검증자 설정(예: 3개 중 2개 동의)이었다면, 한 검증자가 오염돼도 나머지가 막았을 것이다.
18시 52분(UTC) 공격 시작. 18시 21분(UTC) 비상 일시정지. 이 숫자가 이상해 보인다면 맞다. 시간 역산을 하면 공격 시작 29분 전에 이미 일시정지가 된 것처럼 보이는데, 이는 발표된 타임라인에서 UTC 표기 혼동이 있었기 때문이다. CoinDesk 보도에 따르면 비상 일시정지는 첫 성공적 탈취 이후 46분 만에 이뤄졌다. 이후 두 차례(18:26, 18:28 UTC)의 추가 공격 시도는 모두 차단됐다. 각각 4만 개의 rsETH(약 1억 달러) 추가 탈취를 노린 시도였다.
탈취 자금의 이동 경로가 더 충격적이다. 공격자는 훔친 249억 7,000만 달러 상당의 rsETH를 Aave 등 대출 프로토콜에 담보로 예치하고, 대신 wETH와 wstETH 2억 2,820만 달러를 인출했다. 담보를 남기고 진짜 돈을 빼간 것이다. 이 담보 rsETH는 이제 실질 가치가 없는 부실 자산이다.
📊 해킹 피해와 연쇄 충격 — 숫자로 본 파장
| 항목 | 수치 | 비고 |
|---|---|---|
| 직접 탈취액 | $292M (rsETH 116,500개) | 2026년 최대 DeFi 해킹 |
| 탈취 비중 | rsETH 전체 순환 공급의 약 18% | 20개 이상 L2 체인의 rsETH 담보 소멸 |
| Aave 발생 부실채권 | $177M (wETH 풀) | Aave TVL(207억 달러)의 약 0.9% |
| DeFi TVL 감소 | -$140억 (이틀 만에) | 1년 최저치, DefiLlama 기준 |
| 동결된 자금 (Arbitrum) | $71M (ETH 30,766개) | Arbitrum 보안위원회가 법집행기관 협조로 긴급 동결 (4/21) |
| 공격 소요 시간 | 약 46분 | 18:52 UTC 공격 시작 → 비상 일시정지 |
| 공격 귀속 | 북한 라자루스 그룹 (TraderTraitor) | LayerZero 및 보안 당국 예비 귀속 |
| 영향받은 프로토콜 | Aave, SparkLend, Fluid 외 다수 | rsETH 담보 시장 긴급 동결 |
출처: CoinDesk, KuCoin, LayerZero 공식 사후 분석, Arbitrum 공식 발표 (2026년 4월 18~21일 기준)
🤝 LayerZero vs. KelpDAO — 책임 공방의 실체
사고 직후 크립토 커뮤니티에서 가장 뜨거웠던 논쟁은 "누구 잘못이냐"는 것이었다. 양측 모두 상대방에게 책임을 돌렸다.
LayerZero 측 주장: "KelpDAO가 다중 검증자 설정을 권고받았음에도 불구하고 단일 검증자(1/1) 구성을 선택했다. 제대로 된 구성이었다면 이 공격은 불가능했다. LayerZero 프로토콜 자체에는 버그가 없다."
커뮤니티 반응도 양분됐다. "다리를 만들어 통행료를 받고, 다리가 무너지자 건너간 차가 잘못이라고 한다"는 비판이 쏟아졌다. Chainlink 커뮤니티 매니저는 LayerZero가 자신들이 지원하는 설정 때문에 뚫렸음에도 KelpDAO에 책임을 전가했다고 비판했다.
사건은 현재 진행 중이다. Arbitrum 보안위원회는 4월 21일 법집행기관 협조 하에 공격자 주소에서 ETH 30,766개(약 7,100만 달러)를 긴급 동결했다. 피해액 2억 9,200만 달러의 약 24%가 부분 회수된 셈이다. KelpDAO는 생태계 파트너들과 손실 분담 방안을 협의 중이며, LayerZero와의 법적 공방 가능성도 거론되고 있다.
₿ 비트코인·이더리움의 신뢰성에는 영향을 끼치는가?
결론부터 말하면, 비트코인 블록체인 자체의 신뢰성에는 영향을 미치지 않는다. 이번 해킹은 비트코인이나 이더리움 프로토콜의 버그와 무관하다. 공격받은 건 블록체인이 아니라 그 위에서 작동하는 브릿지 인프라(LayerZero의 RPC 노드)였다.
비유하자면 은행 금고가 뚫린 게 아니라, 금고와 지점 사이를 오가는 현금 수송차가 강탈된 것이다. 은행 금고(이더리움 메인 체인) 자체는 안전하다.
그러나 이더리움 생태계 전반의 신뢰성에는 간접 타격이 있다. rsETH는 이더리움 위에 구축된 자산이다. 이더리움 메인 체인과 레이어2 네트워크를 연결하는 브릿지가 뚫렸다는 것은, 이더리움 생태계의 확장 인프라가 아직 성숙하지 않았다는 신호다. Aave, SparkLend 등 이더리움 기반 DeFi 프로토콜들이 직접 피해를 받으면서 이더리움 DeFi 생태계 전체가 위협받는 구조임이 드러났다.
실제로 4월 18일 해킹 직후 며칠간 이더리움 가격은 상대적으로 약세를 보였다. 비트코인 대비 ETH 가격 회복 속도가 느렸던 건 이 사건의 직접적 영향이라고 볼 수 있다.
장기적으로 더 중요한 것은 북한 라자루스 그룹의 전략 변화다. 라자루스는 4월 1일 Drift Protocol($2억 8,500만 달러, 소셜 엔지니어링 공격)과 4월 18일 KelpDAO($2억 9,200만 달러, RPC 인프라 오염)를 18일 만에 두 건 합산 5억 7,500만 달러를 탈취했다. 공격 방식이 빠르게 진화하고 있다. DeFi 프로토콜들의 보안 강화 속도보다 공격자들의 학습 속도가 빠른 현재, 이 문제는 비트코인·이더리움 신뢰성보다 DeFi 생태계 전체의 구조적 리스크로 읽어야 한다.
✅ 정리 — 이 사건이 남긴 것
KelpDAO 해킹은 DeFi 시장의 숙제를 날카롭게 드러냈다. 블록체인 자체는 강하다. 하지만 블록체인과 블록체인 사이, 체인과 사용자 사이를 연결하는 '브릿지'와 '인프라'는 여전히 취약하다.
Arbitrum의 7,100만 달러 긴급 동결은 레이어2 생태계가 비상시 중앙화된 개입을 할 수 있다는 것을 보여줬다. 이게 DeFi의 탈중앙화 원칙과 어떻게 공존하는지도 앞으로 논쟁될 주제다.
한 가지는 확실하다. 잃어도 되는 금액만 DeFi에 넣는 것. 그 원칙이 이번 사건으로 다시 한번 검증됐다.
❓ 자주 묻는 질문 (FAQ)
Q1. KelpDAO가 운영되는 메인 블록체인은 어디인가?
KelpDAO의 핵심 스마트컨트랙트는 이더리움 메인넷에서 운영된다. EigenLayer를 통해 이더리움 스테이킹 수익을 창출하며, rsETH 토큰은 LayerZero의 크로스체인 기술을 통해 Base, Arbitrum, Linea, Blast, Mantle, Scroll 등 20개 이상의 이더리움 레이어2(L2) 네트워크에서도 유통된다. 이번 해킹은 이더리움 메인넷이 아닌, L2 체인 간 rsETH를 이동시키는 LayerZero 브릿지 레이어에서 발생했다.
Q2. DVN(분산 검증 네트워크)이란 무엇이며, 왜 1/1 설정이 위험한가?
DVN은 LayerZero에서 크로스체인 메시지가 유효한지 확인하는 독립 검증자다. 1/1 설정은 단 1개의 검증자만 승인하면 트랜잭션이 통과되는 구조다. 이 검증자 하나가 오염되면 가짜 트랜잭션도 유효하다고 처리된다. 반면 3/5 같은 다중 검증자 설정은 여러 검증자가 동의해야 하므로 하나가 뚫려도 나머지가 막는다. 단일 장애점(Single Point of Failure)이 만들어내는 구조적 취약점이다.
Q3. 이번 해킹이 비트코인·이더리움 블록체인 자체의 신뢰성에 영향을 미치나?
비트코인 블록체인에는 직접 영향이 없다. 이더리움 메인 체인 자체도 뚫리지 않았다. 공격받은 것은 블록체인 위에서 작동하는 브릿지 인프라(LayerZero RPC 노드)다. 그러나 이더리움 기반 DeFi 프로토콜(Aave, SparkLend 등)이 연쇄 피해를 받고 TVL이 140억 달러 감소하면서 이더리움 생태계 전반의 신뢰도에 간접 타격이 있었다.
Q4. Aave에 발생한 1억 7,700만 달러 부실채권은 어떻게 되나?
공격자가 무가치한 rsETH를 담보로 Aave에서 실제 자산(wETH 등)을 대출받아 사라졌기 때문에, Aave에는 회수 불가능한 담보를 가진 부실 포지션이 남았다. 이 금액이 약 1억 7,700만 달러다. Aave 전체 TVL(207억 달러)의 약 0.9% 수준으로 Aave 자체를 위협할 수준은 아니다. Aave 거버넌스는 Umbrella 프로토콜과 트레저리 자금을 활용한 손실 복구 방안을 검토 중이다.
Q5. 북한 라자루스 그룹이 DeFi를 공격하는 이유는 무엇인가?
유엔 보고서에 따르면 라자루스 그룹이 탈취한 암호화폐는 북한의 핵·미사일 프로그램 자금 조달에 사용되는 것으로 추정된다. 국제 제재로 정상적인 금융 접근이 막힌 북한이 DeFi를 대안 자금원으로 활용하는 구조다. 특히 DeFi는 탈중앙화 특성상 동결·회수가 어렵고, 믹서(Tornado Cash 등)를 통해 자금 세탁이 가능해 선호 공격 대상이 됐다. 2025~2026년 두 달간 약 5억 7,500만 달러를 탈취한 것으로 귀속돼 있다.
📚 참고 자료
- ▶ CoinDesk — KelpDAO exploited for $292 million with wrapped ether stranded across 20 chains (2026.04.19)
- ▶ CoinDesk — LayerZero blames Kelp's setup, attributes to North Korea's Lazarus (2026.04.20)
- ▶ CoinDesk — Kelp DAO hits back at LayerZero for trying to shift the blame (2026.04.20)
- ▶ CoinDesk — Arbitrum freezes $71 million in ether tied to Kelp DAO exploit (2026.04.21)
- ▶ KuCoin — KelpDAO rsETH Exploit: How $292M Attack Created $177M Bad Debt on Aave (2026.04)
- ▶ LayerZero 공식 — KelpDAO Incident Statement (2026.04.20)
✍ 저자 프로필
작성자: Inverstor K
관심 분야: 가상화폐 투자 분석, 블록체인 생태계 리서치
경력: 해외무역, 5년 이상 가상화폐 시장 직접 투자 및 포트폴리오 운영
투자 원칙: 이해한 것에만 투자한다. 잃어도 되는 금액만 넣는다.
