켈프다오(KelpDAO)의 모회사인 에버크레스트 테크놀로지스는 4월 18일 발생한 해킹 사건으로 116,500 rsETH(약 2.92억 달러)가 유출된 것과 관련해 레이어제로 랩스(LayerZero Labs)와 공동 창립자를 고소했다. 이들은 브리지의 단일 검증자 구성이 서면으로 검토되고 승인되었다고 주장했다. 이는 DeFi 프로토콜이 자체 인프라 제공자를 법정에 세운 첫 사례이며, 이 섹터의 가장 오래된 슬로건인 '코드는 법이다'를 재판에 부치고 있다.
$292M 디파이 브리지 책임 소송이 "코드는 법이다"를 종결시켰다
주요 내용
- 켈프DAO의 모회사인 에버크레스트 테크놀로지는 4월 18일 rsETH 116,500개(약 $2.92억)를 유출한 공격과 관련해 레이어제로 랩스와 공동 창립자 브라이언 펠레그리노를 고소했다. 이는 2026년 최대 디파이 해킹 사건이다.
- 이 주장은 LayerZero가 "서면으로 검토하고 승인했다"고 주장한 후 Kelp의 자체 구성에 공개적으로 귀속시킨 1-of-1 검증기 설정에 달려 있다.
- 이는 DeFi 프로토콜이 자체 인프라 제공자를 법정으로 끌고 간 첫 사례로, "코드는 법이다"라는 원칙에 대한 직접적인 도전이다.
공격자는 북한의 라자루스 그룹과 연결되어 있지만, 이 법적 분쟁은 두 건전성 있는 암호화폐 기업 간에 약한 고리의 소유권을 두고 벌어지고 있다.
하나의 위조된 메시지, $292 million, 하나의 블록
2026년 4월 18일, 단 하나의 위조된 메시지가 크로스체인 브리지를 설득하여 116,500 rsETH, 약 $292 million을 한 블록에서 방출하도록 했습니다. 개인 키가 도난당하지 않았고 스마트 계약이 malfunction하지 않았습니다. 코드는 정확히 지시된 대로 작동했을 뿐, 단지 거짓말을 들었을 뿐입니다. Kelp의 브리지 잔액은 해당 블록에서 116,723 rsETH에서 223 rsETH로 떨어졌으며, 이는 유통 중인 rsETH 공급량의 약 18퍼센트가 브리지를 떠났음을 의미합니다.
9월 24일, KelpDAO의 모회사인 Evercrest Technologies는 브리티시컬럼비아 최고법원에 LayerZero Labs와 공동 창립자 Bryan Pellegrino를 상대로 민사 소송을 제기했습니다. 단일 소송을 통해 DeFi에서 가장 오래된 슬로건이 법정 공방의 장에 올랐습니다.
코드가 법이라는 것은 코드가 잘못되었을 때 무엇을 의미합니까?
"코드가 곧 법"은 10년간 암호화폐의 창립 전제였습니다. 거래 상대방도, 법원도, 인간의 실수도 없으며 오직 수학만 존재합니다. 크로스체인 브리지는 그 아이디어의 가장 순수한 표현이 되어야 합니다. 하나의 체인에 토큰을 잠금하고 다른 체인에 동등한 토큰을 발행하며, 사람이 아닌 검증자가 규칙을 집행하게 합니다. "신뢰 불필요(Trustless)"는 항상 반쪽 진실했습니다. 토큰이 실제로 소각되었는지 확인하는 검증자를 누군가는 운영해야 하기 때문입니다. 그 확인 후에야 다른 곳에서 동등한 양이 방출됩니다.
Kelp의 경우, 그 주체는 LayerZero였으며, 구체적으로는 1-of-1 탈중앙화 검증자 네트워크(DVN)였습니다. 실질적으로 단 하나의 검증자가 수신 메시지와 $292 million의 자금 인출 사이에 위치해 있었습니다. 이중 검증도 교차 확인도 없었습니다. 이 단일 신뢰 지점이 사건의 핵심입니다: 공격은 브리지를 직접 파괴한 것이 아니라, 브리지가 의존하던 유일한 센서를 오염시킨 것입니다.
브릿지가 붕괴될 때 누가 이득을 보고 누가 손해를 보는가?
승자는 쉽게 언급할 수 있다. 먼저 법정과 외부 고문들. Chainlink 의 CCIP, 대안으로. May 에 이주한 모든 프로토콜은 광고 예산으로는 결코 구입할 수 없는 가시성을 얻었다: Solv Protocol 은 LayerZero 에서 약 700 ล้านดอลลาร์의 SolvBTC 를 이주시켰고, 총 고정 가치 21 억 달러를 보유한 Lombard 가 뒤를 이었다. 각 주요 손실 뉴스 후 보험 및 감사 업체들은 새로운 고객을 얻는다. 이미 다중 검증자 중복성을 갖춘 모든 프로토콜은 비교 시 더 매력적으로 보였다.
손실을 본 프로젝트들도 명확하다. 레이어제로(LayerZero)의 평판은 직접적인 타격을 입었고, Aave는 공격자가 위조된 rsETH를 예치하고 이를 담보로 실제 자산을 빌려간 후 약 $1.237억에서 $2.301억에 달하는 부채를 안게 되었다. 가장 조용히 사라진 희생자는 '무구제 원칙(hardline no-recourse position)'이다. 즉, 디파이(DeFi)에서의 손실은 최종적이며 누구도 누구에게 빚을 지지 않는다는 주장이다. 이제 한 암호화폐 기업이 업계의 구축자들조차 이러한 프레임워크를 수용하지 않음을 보여줬다.
두 번째 순서 효과가 이것들보다 더 중요할 수 있습니다. "검토되고 서면으로 승인된"이라는 표현은 이제 법적 수단이 되었습니다. 문서화, 인프라 제공업체의 내부 채팅 로그 및 직접 메시지는 잠재적인 증거가 될 수 있습니다. 12개월 이내에 크로스체인 산업 전반에 걸친 서비스 약관의 재작성 물결은 놀라운 일이 아닌 결과가 될 것입니다.
이런 일이 이전에 발생했나요?
이런 형태는 아니었습니다. 2022년 Wormhole은 $325 million을 손실했지만 Jump Crypto가 며칠 내에 법정 공방이나 책임 공방 없이 사용자들에게 전액을 보상했습니다. 2023년 Multichain은 약 $1.5 billion을 손실했고, 최고경영자가 중국에서 체포되었으며, 자금은 동결된 채 소송을 제기할 상대방조차 남지 않았습니다. 2022년 Ronin은 $625 million을 손실했으나 조정된 유동성 지원을 통해 해결되었습니다. DeFi의 대응 방식은 두 가지뿐이었습니다: 조용한 구제금융 또는 요란한 붕괴. 제3의 선택지는 없었습니다.
Kelp의 주장은 하나를 도입합니다. 두 개의 유동성 있는 암호화폐 회사가 약한 고리의 소유권을 결정하기 위해 법원에 요청하고 있습니다: 브릿지를 배포한 프로토콜, 아니면 위조된 메시지에 서명한 단일 검증자를 보유한 인프라 제공업체 중 어느 쪽이 소유자인지입니다. LayerZero는 처음에 자신의 프로토콜이 "의도한 대로 정확히 작동했다"고 말하며, 사용자들이 단일 DVN에 의존해서는 안 된다고 밝혔습니다. 이후 LayerZero는 "고액 거래에 대해 우리 DVN이 1-of-1 DVN으로 작동하도록 허용한 것은 실수였다"고 인정했습니다. Kelp는 LayerZero가 2024년 말 또는 2025년 초에 별도의 개발자 USDT0에게 검증자 위험에 대해 경고했지만, 같은 경고를 Kelp에게는 전달하지 않았다고 주장합니다. 이러한 비대칭성이 소송에서 검토될 사안입니다.
브릿지 책임 문제는 향후 1~3년 동안 어디로 향할 것인가?
"책임성 인프라"가 제품 카테고리가 될 것으로 예상됩니다: 법적 래퍼, DAO 법적 실체, 온체인 보험, 그리고 통합 계약에 명시된 책임 조항이 포함됩니다. "누가 당신의 브릿지를 검증하는가?"는 기관의 실사 체크리스트에 "누가 당신의 코드를 감사하는가?"와 함께 추가됩니다. 브릿지 운영자는 거래가 완료되는 순간 책임에서 해방된다는 가정은 더 이상 유효하지 않습니다.
두 번째 힘이 병렬로 작용하고 있다. Kelp가 신청서를 제출한 같은 주, 뉴욕주는 도박 혐의로 Polymarket을 고소했으며, 이는 주와 산업 간 분쟁이 자체적인 궤도에서 가속화되고 있음을 상기시킨다. 규제 기관들은 암호화폐 간 소송을 로드맵으로 해석할 것이다: 산업이 책임 소재에 동의하지 못하는 곳에서는 법원과 기관이 공백을 메운다. 이러한 사안을 사적으로 해결하던 시대가 끝나가고 있다. 손실이 너무 커졌고, 상대방이 이제 이를 이길 만큼 충분히 커졌기 때문이다.
이 데이터에서 시장 참여자들이 얻어야 할 인사이트
이것은 가격에 관한 이야기가 아니며, 그렇게 읽혀서는 안 됩니다. 이는 위험 평가 방식을 변화시킵니다. 첫째, 단일 실패 지점은 재평가가 필요합니다: 자본은 다중 검증자 및 다중 제공자 환경으로 계속 이동하고 있으며, 여전히 단일 DVN을 운영하는 프로토콜은 시장이 완전히 반영하지 않은 할인을 겪고 있습니다. 둘째, 서면 승인现在是 조건부 부채처럼 행동합니다: 인프라 제공자가 특정 구성을 승인했다면, 그 승인은 해당 제공자에 대한 잠재적 청구가 될 수 있습니다. 셋째, 이 사례의 귀속 관계, 즉 LayerZero 개발자에 대한 소셜 엔지니어링 이후 Lazarus와 연결된 TraderTraitor라는 클러스터에 의한 RPC 인프라 오염은 일회성 사건이 아니라 반복적이고 자금력이 풍부한 공격 유형을 설명합니다. 제재 준수 및 규정 준수 DeFi는 마케팅 용어가 아닌 진정한 차별화 요소가 되고 있습니다.
더 깊은 교훈은 이 악용이 키 탈취가 아니었다는 것입니다. 이는 인프라 오염으로, 스마트 계약 감사로는 발견되지 않는 공격 유형입니다. 감사된 계약으로 시작하고 끝나는 보안 가설은 잘못된 레이어를 검토하는 것입니다.
누구도 답하기를 원하지 않는 질문
가장 드러나는 세부 사항은 $292백만이 아니다. 두 개의 암호화폐 팀이 모두 코드에 대한 신뢰를 설교하고 있으며, 이제 법원에 누가 누구를 신뢰했는지 결정해 달라고 요청하고 있다. DeFi의 자체 구축자들이 "code is law"를 답변으로 받아들이기를 거부한다면, 시장의 나머지 부분도 그렇게 해서는 안 된다. 진짜 질문은 암호화폐가 책임성을 개발할 것인지 여부가 아니라, 누가 그것을 작성하는가이다: 법정인지, 아니면 대체하려 했던 DAO인지.
FAQ
KelpDAO 해킹 사건에서 무슨 일이 있었나요? 2026년 4월 18일, 공격자들은 Kelp의 LayerZero 브리지를 보호하는 단일 검증자에게 위조된 메시지를 주입하여, 소스 체인에서의 대응 소각 없이 116,500 rsETH(약 $292 million)가 인출되도록 했습니다. 단 하나의 블록 만에 Kelp 브리지 잔액은 116,723 rsETH에서 223 rsETH로 급감했습니다.
왜 KelpDAO가 LayerZero를 고소하는가? Kelp는 LayerZero가 취약한 1-of-1 검증자 설정을 "검토하고 서면으로 승인"한 후, 손실 발생 후 공개적으로 Kelp의 구성을 비난했으며, LayerZero는 다른 개발자에게 검증자 위험을 경고했지만 Kelp에는 경고하지 않았다고 주장한다. 이 주장은 과실로 인한 허위표시, 과실 및 명예훼손을 청구한다.
"코드 자체가 법"이라는 말은 아무도 책임을 지지 않는다는 뜻인가? 실제론 그렇지 않다. 일반적으로 이는 코드가 실패할 때 사용자가 손실을 감수한다는 의미였다. 이번 소송은 업계의 구축자들조차 이제 구제 수단을 기대하고 있음을 보여준다: 코드가 지시대로 작동했지만 거짓 정보를 받았을 때, 약한 고리의 소유자가 누구인지 법원이 결정하는 것이다.
누가 자금을 인출한 것으로 믿는가? LayerZero의 사고 보고서는 Mandiant와 CrowdStrike를 인용해 침입을 TraderTraitor(UNC4899로 추적됨, 북한 라자루스 그룹과 연결된 클러스터)로 귀속시켰다. 자금의 흔적은 국가 행위자에게로 이어지는 반면, 법정 분쟁은 Kelp와 LayerZero 사이에서 진행 중이다.
이것이 다른 브리지에 미치는 영향은 무엇인가? 자본이 Chainlink CCIP와 같은 다중 검증자 및 다중 제공자 환경으로 계속 이동할 것으로 예상되며, 인프라 제공자들이 서비스 약관과 면책 조항을 수정할 것으로 예상된다. "누가 당신의 브리지를 검증하는가?"는 이제 사후 고려사항이 아닌 실사 질문이 되었다.