Kelp DAO, 2억 9,200만 달러 rsETH 해킹 놓고 LayerZero(ZRO) 상대로 소송 제기

Kelp DAO, LayerZero를 법정에 세우다

리스테이킹 프로토콜 Kelp DAO가 2억 9,200만 달러 피해 배상 문제를 법정으로 넘겼다. 9월 25일, Kelp는 LayerZero (ZRO)와 공동창업자이자 CEO인 Bryan Pellegrino를 상대로 소송을 제기했다. 소송은 Kelp의 법인격 주체인 Evercrest Technologies Inc. 명의로 캐나다 브리티시컬럼비아 주 최고법원에 접수됐으며, 프로토콜 회사뿐 아니라 Pellegrino 개인도 공동 피고로 지목됐다. Kelp는 소장에서 LayerZero가 자사 크로스체인 메시징 기술의 결함을 은폐했고, 공격자의 보안 인프라 침투를 막지 못했다고 주장한다. 그리고 이러한 실패가 2026년 최대 규모의 DeFi 해킹 사건을 직접 초래했다는 것이 Kelp 측 논리다.

사건의 뿌리는 4월 18일로 거슬러 올라간다. 공격자는 LayerZero의 메시징 계층으로 보안이 유지되는 브리지를 통해 Kelp의 리스테이킹 토큰 rsETH 약 116,500개를 인출해 갔다. 보안 조사 단계에서 이 절도는 북한 라자루스 그룹(Lazarus Group)의 하위 조직인 TraderTraitor 소행으로 확인됐다. 침입 과정은 치밀했다. 해커들은 먼저 LayerZero 개발자 계정 하나를 소셜 엔지니어링으로 넘겨 세션 키를 확보했고, 이후 내부 RPC 클라우드 노드를 오염시키는 동시에 외부 노드에는 대규모 DDoS 트래픽을 쏟아부어 브리지가 오염된 데이터 경로로 흐르도록 강제했다. 위조된 크로스체인 메시지가 회로에 투입되자 검증자는 실제로 일어나지 않은 rsETH 소각을 승인했고, 이더리움 컨트랙트는 그 허구를 근거로 자금을 풀어줬다. 충격은 즉각 확산됐다. Aave의 총 잠금 가치(TVL)는 이틀 만에 84억 5,000만 달러 감소했으며, 주요 체인에서 유동성 풀 에 잠긴 담보 자산도 광범위하게 빠져나갔다.

단일 검증자, 두 개의 주장

이 소송의 쟁점은 하나의 설정 선택으로 귀결된다. 브리지 보안이 단일 검증자에 의존했는가, 아니면 다중 검증자였는가. Kelp는 1-of-1 분산형 검증자 네트워크(DVN) 구성, 즉 단일 검증 주체만 둔 구조가 LayerZero 자체 문서와 퀵스타트 가이드의 기본값이었으며, LayerZero 팀이 해당 배포를 검토하고 서면으로 승인했다고 주장한다. 반면 LayerZero와 Pellegrino는 지난 수개월간 정반대의 논리를 폈다. Kelp가 권장 방식을 벗어나 더 안전한 다중 검증자 구성을 수동으로 단일 검증자 구조로 격하시킴으로써, 해커들이 악용한 단일 장애 지점을 스스로 만들었다는 것이다. Kelp DAO는 9월 25일 공식 X 계정을 통해 소송 제기 사실을 공개 했고, 방어 측 반응은 담백했다. Pellegrino는 이 소송을 “실익 없는(meritless)” 주장이라며 일축했고, 밴쿠버 법정에서 전면 대응할 계획이라고 밝혔다. Kelp는 보안 대응에도 이미 착수했다. 해킹 직후 rsETH의 브리징 인프라를 경쟁 크로스체인 메시징 표준인 Chainlink CCIP로 전환해 더 강력하다고 판단한 체계로 갈아탄 것이다. 자금 회복 절차 역시 소송과 얽혀 있다. 5월에는 미국 법원 명령이 해커로부터 동결된 30,766 ETH를 Arbitrum DAO 가 이동시키지 못하도록 차단했으며, 이 자산은 이번 캐나다 소송과 함께 접수돼 있다.

소송 제기 사실을 공개https://x.com/KelpDAO/status/2103332910128599327

브리지 책임을 시험하는 소송

COINOTAG 분석: 브리티시컬럼비아 주 최고법원 앞에 놓인 이 소송은 하나의 브리지를 놓은 쌍방 갈등 그 이상이다. 서면 승인 여부에 대한 법원 판단과 무관하게, 이 사건은 크로스체인 인프라 제공자가 고객 배포 환경에서 일어난 공격에 어디까지 책임을 지는지, 그리고 기본 구성에 묵시적 보증이 있는지를 정리하는 선례가 될 전망이다. Kelp가 CEO 개인을 피고로 나란히 세운 것은 기업 책임만이 아니라 개인 단위 책임도 시험하겠다는 의지의 표시로 읽힌다. 시장을 실시간으로 추적하려는 독자는 Bitget에서 현물·선물 가격을 실시간으로 확인할 수 있다.

소송 구름은 상시 공급 역학 위에도 겹쳐졌다. LayerZero(ZRO)는 9월 20일 약 2,600만 달러어치 토큰 2,571만 개를 언락 했다. 밴쿠버 법원 등기부가 알트코인 인프라 섹터 전반의 브리지 해킹 소송을 정리할 초판본이 되는 동안, 유통량 이슈도 이어지고 있다.