Kelp DAO, 2억 9,200만 달러 rsETH 해킹 놓고 LayerZero(ZRO) 상대로 소송 제기

Kelp DAO, LayerZero를 법정에 세우다

리스테이킹 프로토콜 Kelp DAO가 2억 9,200만 달러 규모의 피해를 사법 절차로 넘겼다. Kelp의 법인격인 Evercrest Technologies Inc. 명의로 9월 25일 캐나다 브리티시컬럼비아 주 최고법원에 LayerZero(ZRO)와 공동창업자 겸 CEO Bryan Pellegrino를 상대로 한 소장이 접수됐으며, 회사와 함께 Pellegrino 개인도 피고로 지정됐다. 소장에서 Kelp는 LayerZero가 자사 크로스체인 메시징 기술의 결함을 은폐했고 공격자의 보안 인프라 침투를 막지 못했다고 주장하며, 이 두 가지 실패가 2026년 최대 규모의 DeFi 해킹으로 직결됐다고 보고 있다. 분쟁의 기점은 4월 18일이다. 이날 공격자는 LayerZero 메시징 계층으로 보호되는 브리지를 통해 Kelp의 액체 리스테이킹 토큰 rsETH 약 11만 6,500개를 인출해 갔다. 보안 조사단은 이 탈취를 북한 라자루스 그룹의 하위조직 TraderTraitor 소행으로 특정했다. 침투 과정은 치밀했다. 해커들은 먼저 LayerZero 개발자 계정을 사회공학적으로 공략해 세션 키를 확보한 뒤, 내부 RPC 클라우드 노드를 오염시키는 한편 외부 노드에 DDoS 트래픽을 쏟아부어 브리지가 오염된 데이터 경로로 향하도록 강제했다. 위조된 크로스체인 메시지가 유통되자 검증자는 실제로 일어나지 않은 rsETH 소각을 승인했고, 이더리움 컨트랙트는 이에 따라 자금을 방출했다. 피해는 곧바로 확산됐다. Aave의 총 예치 자산(TVL)은 이틀 만에 84억 5,000만 달러 줄었고, 주요 체인 전반에서 유동성 풀에 잠긴 담보가 광범위하게 유출됐다.

검증자 하나, 엇갈린 주장

소송의 쟁점은 단 하나의 설정 선택으로 수렴한다. 브리지 보안이 검증자 하나에 의존했는가, 아니면 여러 개에 의존했는가. Kelp는 1-of-1 탈중앙화 검증 네트워크(DVN) 구성, 즉 단일 검증자 구조가 LayerZero 자체 문서와 퀵스타트 가이드의 기본 옵션이었으며, LayerZero 팀이 해당 배포를 서면으로 검토하고 승인했다고 주장한다. LayerZero와 Pellegrino는 그 반대를 몇 달째 주장해 왔다. Kelp가 권장 관행에서 벗어나 더 안전한 다중 검증자 구성을 수동으로 단일 검증자 구조로 격하시켜, 결국 해커들이 파고든 단일 장애점을 스스로 만들었다는 것이다. Kelp DAO는 9월 25일 공식 X 계정을 통해 소 제기를 공개했고, 방어 측의 반응은 단호했다. Pellegrino는 이 소송을 근거 없는 주장으로 일축하며 밴쿠버 법정에서 전력으로 대응하겠다는 뜻을 밝혔다. Kelp는 보안 조치도 이미 실행했다. 해킹 이후 프로토콜은 rsETH 브리징 인프라를 더 견고하다고 판단한 경쟁 크로스체인 메시징 표준인 Chainlink CCIP로 이전했다. 자금 회복 역시 소송과 얽혀 있다. 5월에는 미국 법원 명령에 따라 Arbitrum DAO가 해커로부터 동결한 3만 766 ETH를 이동하지 못하도록 차단됐으며, 이 자산은 캐나다의 새 소송 절차와 병행해 매달려 있다. 실시간 시세 추적이 필요한 독자는 Bitget에서 현물과 선물 가격을 확인할 수 있다.

@KelpDAO · X 게시물

소 제기 발표.

X에서 보기

브리지 업계의 책임 시험대

소장 자체가 분쟁에 새로운 세부 정보를 더한다. 민사 청구 소通知书는 9월 24일자로 작성됐으며, 과실 표시(negligent misrepresentation), 과실(negligence), 명예훼손(defamation)의 세 가지 청구 원인을 담고 있다. 명예훼손 항목에 대해서는 가중 및 징벌적 손해배상까지 청구했고, 구체적 금액은 특정하지 않았지만 해킹과 LayerZero의 공개 발언으로 Evercrest에 수천만 달러 규모의 손해가 발생했다고 주장한다. 또한 LayerZero가 2024년 2월, 2024년 3월, 2025년 1월의 서면 메시지에서 1-of-1 검증자 구성을 승인했고, 한 시점에는 다른 단일 검증자 브리지를 따라 하라고 지시했다고 Kelp는 주장한다. LayerZero는 USDT0에는 기본 구성의 위험을 경고했으나 Kelp에게는 그런 경고를 하지 않았다는 것이다. 소장은 침해의 기점을 3월 6일로 잡고 있다. 이날 LayerZero 개발자의 컴퓨터에 악성코드가 설치됐다는 설명이다. 이와 함께 해킹 이후 사용자들이 6억 5,000만 달러를 초과해 인출했으며, Kelp는 rsETH의 담보를 복원하기 위해 2,000 ETH를 스테이킹했다고 밝혔다.

(10:51 UTC 기준) COINOTAG 분석: 브리티시컬럼비아 주 최고법원에 계류 중인 이 청구는 단순한 브리지 하나를 둘러싼 양자 갈등 그 이상이다. 논쟁 중인 서면 승인에 대해 법원이 어떻게 판단하든, 이 사건은 크로스체인 인프라 제공자가 고객의 배포 환경에서 실행된 해킹에 대해 어디까지 책임을 지는지, 그리고 기본 구성에 묵시적 보증이 성립하는지를 정의하는 선례가 될 것이다. CEO 개인을 피고로 지정한 것은 Kelp가 법인 책임만이 아니라 개인 책임도 시험하려는 의도를 보여준다. 법적 불확실성은 통상의 공급 역학 위에까지 얹혀 있다. LayerZero(ZRO)는 9월 20일 약 2,600만 달러어치 2,571만 토큰을 언락해 발행물 이슈가 계속 주목받는 가운데, 밴쿠버의 재판 일정이 알트코인 인프라 섹터 전반의 브리지 해킹 소송에 대한 초기 템플릿이 될 전망이다.